Remember the post about the coffee machine

Помните пост про кофемашину ? Там мы уже заходили в админку служебным паролем, а сегодня поговорим про вендинговый автомат

Ну, собственно, на видео есть результат. Автомат принимает эмулируемую карту лояльности и разрешает бесплатную выдачу напитка. По словам моего знакомого ( да, на этот раз эксперимент проводил не я, а мой приятель; он же прислал мне видео ), ID этой карты удалось подобрать банальным брутом. Настоящую карту для этого не копировали

Не переживайте, красть никто и ничего не собирался. Владелец автомата дал согласие на наш небольшой опыт 🧪

Формально здесь уже уместнее сравнение с «хакером и солонкой», которое мне вменяли ещё в посте про кофемашину. Но рассматривать автомат как входную точку для более масштабной атаки, как в случае с кофемашиной, в этом посте я не буду. Детально я его сам не изучал, а знакомый провёл только этот эксперимент с эмуляцией карты лояльности. Делать выводы о безопасности всей инфраструктуры по одному выданному напитку было бы странно ( тут то речь не об админке )

Сам по себе бесплатный энергос к большому инциденту вряд ли приведёт, но для бизнеса такие бесплатные выдачи продуктов всё равно означают потери. Особенно если любителей халявы окажется больше одного. Так что поговорить про безопасность здесь вполне стоит. Давайте это и сделаем 🫥

Идентификатор позволяет системе найти нужного клиента. Сам по себе он не подтверждает, что предъявлена именно его карта. И секретом не становится просто потому, что он уникальный

Причём сервер здесь есть ( вероятнее всего, потому что терминал сам пишет «Связываемся с сервером» ). Лимит бесплатных выдач тоже виден. И по идее только сервер может найти профиль, проверить оставшийся бонус и разрешить выдачу тому, кто просто предъявил подходящий идентификатор. Но учесть операцию ещё не значит надёжно проверить право на неё

По-хорошему, карту нужно проверять криптографически. Условно, терминал при каждой проверке отправляет новый случайный запрос, а карта формирует ответ с помощью секретного ключа. Система проверяет ответ и право этой карты на льготу. При корректной реализации просто подобрать ID или повторить ранее записанный ответ будет уже недостаточно

Вот такие вещи должны продумываться на этапе проектирования. Бесплатная выдача тоже должна проходить проверку права на получение товара

Security by Design? Ага, ща, у нас тут вендинговый автомат энергосы по эмулятору карты выдаёт в 2026. Так и живем 🟩

Все чувствительные данные, включая ID, я заблюрил. Не хочу развращать подписчиков и соблазнять бесплатными продуктами из подобных автоматов. Знаю я вас 😏

P.S. Flipper Zero, любые подобные мультитулы, свои навыки и знания используем только в исследовательских целях с разрешения и в согласованных границах. Узнаю, что среди моих подписчиков есть любители поиграть в Watch Dogs в реальной жизни, отлучу от канала))

🫡 Сайт | 🤔 Хабр

#информационная_безопасность
#интернет_вещей