קל משחשבתם: גישה לרב קו באמצעות כל סמארטפון משולב NFC

כרטיסי התחבורה הציבורית החכמים חושפים בפני כל נוכל פוטנציאלי את מספר תעודת הזהות, תאריך הלידה והנסיעות האחרונות של בעליהם. משרד התחבורה בפנייה קודמת: הנגישות נועדה לתועלת האזרחים.

כרטיס רב קו, תמונה: מורד שטרן

כרטיס רב קו, תמונה: מורד שטרן

הפוסט נכתב על ידי יאיר מור, NEXTER.

כרטיס הרב-קו הוא אביזר חובה לכל אזרח בישראל שאינו בעל רכב. הרפורמה בתחבורה הציבורית בשלוש השנים האחרונות הפכה אותו לכרטיס הנסיעה הארצי והחל מהחודש שעבר אף לא ניתן לרכוש את חלק מסוגי הנסיעות בלעדיו. אך הכרטיס הירוק הוא גם סיכון אישי חסר תקדים – ומשרד התחבורה, המודע לבעייתיות, לא עושה דבר בנידון.

משרד התחבורה יודע ושותק

pic-12345

לחצו להגדלה

הבוקר פרסם מורד שטרן בבלוג Usability Talking מה שהוא מגדיר כ"מדריך" המראה כיצד ניתן ללמוד פרטים אישיים על אדם תוך שניות על ידי שימוש בכרטיס הרב-קו שלו ובסמארטפון אנדרואיד מצויד בתקן התקשורת NFC, כגון גלקסי אס 3 ו-4, אקספיריה Z של סוני או נקסוס 4 של גוגל. כל שיש לעשות הוא להוריד את אפליקציית "רב-קו" שפיתח נדב מוסקוביץ לטלפון החכם, להצמיד את כרטיס הרב-קו אל אחורי המכשיר ולהמתין שנייה או שתיים. לאחר מכן יוצגו על המסך 6 הנסיעות האחרונות שבוצעו בעזרת הכרטיס, עד 8 "חוזים" (כלומר: כרטיסים רבי-נסיעות כגון כרטיסיות או חופשי חודשי) פעילים, כמה "חוזים" שכבר נוצלו וכל פרטי המשתמש – מספר תעודת זהות, תאריך לידה ועוד.

כך, לדוגמא, הצמדת הכרטיס האישי שלו למכשיר הראתה כרטיסייה שנקנתה ב-2011 וטרם נוצלה במלואה, את הנסיעות שלו מהימים האחרונים וכמה כרטיסיות שרכש לנסיעות לירושלים בחברות תחבורה ציבורית שונות. כל זה נוסף למועד בו הנפיק את הכרטיס, זהות המפעילה אצלה עשה זאת וציון העובדה שהחזקתי ברשותי באותה העת כרטיס סטודנט.

"במהלך שיחה אקראית שניהלתי עם חבר, הוא הראה לי שיכול לסרוק את המידע באנדרואיד שלו, דבר שכמשתמש אייפון לא הייתי חשוף אליו", מספר שטרן. "כשביקשתי ממנו את המכשיר לסרוק בעצמי נדהמתי לראות את תעודת הזהות שלו ואת תאריך הלידה לצד תיעוד הנסיעות. כששאלתי אותו האם הוא הזין ססמה הוא ענה שלא. פה הבנתי שיש בעיה גדולה עם הכרטיסים האלו".

כאמור, הנגישות של הנתונים אינה חדשה. לפני כשלוש שנים, בתקופת הפיילוט של הכרטיס, חשף יוסי דהן, אז מפתח אפליקציות בן 17, כי ניתן לקרוא את כל הנתונים שעל הרב-קו בעזרת כל מכשיר המצויד בתקן התקשורת NFC. תגובת משרד התחבורה היתה כי הנגישות מיועדת לאפשר לכל אחד לגשת לנתונים שעל כרטיסו. השאלה היא מדוע לא נעשה מאז דבר כדי לוודא שהנתונים החשופים הם רק נתוני הנסיעות או השימוש בכרטיס, ולא פרטי המנפיק שהופכים כל כרטיס אבוד לגן עדן עבור הנוכל המצוי.

תגובת משרד התחבורה

"אין שום פרצה באבטחה בכרטיס החכם ולא ניתן לעשות כל שימוש לרעה בנתונים האישיים המצויים בכרטיס מאחר והוא אינו מכיל שום פרט חסוי. אופיו של הכרטיס אכן שונה ב-2010 וכיום הוא אינו מכיל פרטים אישיים מעבר למה שהיה קיים. הפרטים המצויים כיום בכרטיס החכם היו מצויים גם בכרטיסיית הנייר שהייתה נהוגה במשך שנים רבות עד לכניסת הכרטיס החכם. יתרה מכך, לא ניתן לשנות את תוכן הכרטיס או הפרטים הצפונים בו, ונדרשת פעילות מורכבת בפרוק המידע לשדות ולהבנת משמעותן".

הפוסט פורסם לראשונה ב-NEXTER.

לקריאה נוספת:

טרייד אין לאייפון – לא משתלם

מדוע אין נשים בצמרת חברות הייטק

NEXTER

הגב

14 Comments on "קל משחשבתם: גישה לרב קו באמצעות כל סמארטפון משולב NFC"

avatar
Photo and Image Files
 
 
 
Audio and Video Files
 
 
 
Other File Types
 
 
 
Sort by:   newest | oldest | most voted
מיכאל
Guest

אויש נו, זה כזה old news. זה מזמן ידוע ומזמן כבר כתבו על הנושא: http://www.binaryvision.org.il/?p=1260
רואים שאין לנקסטר יותר על מה לכתוב

בודניוק
Guest

אי אפשר להשתמש בנקסוס 4, מטעמי תאימות תקנים.

בודניוק
Guest

"פריצה"? מינימום פנטגון.. בסה"כ קריאה (של מידע רגיש)

רותם
Guest

ואם יודעים מה הת"ז שלי ומה התאריך לידה שלי, אז מה???
ניתן להשיג את המידע הזה בכ"כ הרבה מקומות!

יאיר אשל כהנסקי
Guest
יאיר אשל כהנסקי

רותם, אפשר להשיג את הפרטים האלה בהרבה מקומות, אבל כל אלה מקומות שמסרת להם את הפרטים בצורה יזומה, מתוך שיקול דעת. לסתם אדם ברחוב – לא תמסור את הפרטים ביוזמתך.
עכשיו, צלצל לשירות הטלפוני של הבנק שלך, ובקש להחליף סיסמא. מה דורשים כדי לזהות אותך? ת.ז. ותאריך לידה הם מרכיבים חשובים בתהליך.

שלומי
Guest

שמעת על המושג אגרון/רישומון?

חיים
Guest

השאלה האם אפשר להנדס לאחור את הנתונים ע"מ לזייף כרטיסים ולשדרם לקורא באוטובוס מהטלפון….

עידן פרייברג
Guest
עידן פרייברג

הגזמה מטורפת….

ידעתי מהיום הראשון שניתן לקרוא את המידע ואגב מי שחתם על הטפסים , היה יודע את זה בלי להבין שאפשר לתקשר עם השבב באמצעות NFC.

המידע שיש שם באמת שימושי למשתמש יותר מאשר ל"גנבי זהות"…

בנוסף, בשביל שמישהו יקבל את המידע מתוך הכרטיס הוא ממש חייב להצמיד את הכרטיס להתקן הNFC כך שהסיכוי היחיד שמידע כזה יחשף זה כרטיס שאבד (שגם ככה השם מופיע עליו….)

אחד
Guest

דיי, נמאס לי שאתם מחפשים כותרות, קודם כל זה היה ידוע כבר ממש מזמן.
דבר שני באותה מידה אפשר לגנוב לך את הת.ז ולראות את כל הפרטים האלה. הרב קו זה כרטיס אישי אז מין הסתם הפרטים שם נועדו רק לך.
דווקא הדבר הזה ממש נוח ואני משתמש בו הרבה כדי לבדוק כמה נסיעות נשארו לי ברב קו.

אולג
Guest

איזה שטויות!
כתבה מיותרת.
כל אדם שמאבד רב-קו כאילו איבד כרטיס אשראי, שעליו כתוב מספר הכרטיס שם בעליו ועוד מידע. פשוט יש לשמור על הכרטיס כעל כל כרטיס אחר בארנק.

משה
Guest

הכתבה הכי מיותרת בעולם. הדבר הזה היה ידוע עוד בסוף 2011. התוכנה הזו קיימת ומשרתת המון אנשים מעל שנה וחצי.
היו על התוכנה הזו המון כתבות, ואם תפשפשו אז תגלו גם תגובה בנושא של אגד.
אם מצאתם את הדבר הזה רק עכשיו, מעניין מה זה אומר על הרמה שלכם.

הפכתם להיות פרוקסי
Guest
הפכתם להיות פרוקסי
geektime, לאחרונה הפכתם להיות פרוקסי של כתבות מהרשת ותו לא ! אפילו בלוג טכנולוגי אתם כבר לא. עם קצת מחקר ברשת, הייתם מגלים את הסיפור על הבחור הצעיר שבאמת פרץ את כרטיס הרב קו, הייתם דואגים להביא תגובה של משרד התחבורה ועוד והופכים את הפוסט המשמים מנקסטר למשהו רציני. גם הכתבה הזו וגם הכתבה על אנדרואיד 4.3 עבור מכשירי הגלקסי של סמסונג מוכיח את טענתי. גם את הכתבה ההיא היה אפשר לשפר ולהוסיף מדריך מפורט של איך מורידים איך מתקינים או לפחות לתת לינקים. לקבל תגובה מסאני וחברות הסללואר בארץ מתי יפיצו את העדכון ב OTA. להפוך את הכתבה שפורסמה… Read more »
שמעון אופניים
Guest
שמעון אופניים

יש אפשרות להתקין סורק טביעת אצבע כמו במכוני כושר וברכות ומקוואות
וזה יהיה כתחליף לרב-קו: ולפטור את הבירוקרטיה
וכל התירוצים המטופשים שהם נותנים לנו: רוצים לדעת למה משרד התחבורה
ואגד ודן לא מעוניינים להתקין סורק טביעת אצבע
והסיבה העיקרית שהם לא רוצים הם משקולים כלכליים. מכון שע"י כך
נאבדים כרטיסים לילדים וגם דתיים שבאים מהכותל בשבת לא יוכלו להשתמש
והם מרוויחים מזה וגם הרבה פעמים המחשב תועי ולפעמים אומרים שהרב קו ניגמר
יש לי חבר שמנוי במקווה ע"י טביעת אצבע ולא ראיתי שיש
בעיה וזה גם טוב לכל מי ששוכח את הכרטיס או אם הוא דתי שלא לוקח
רב-קו בשבת
0548401542

אייל
Guest

לא תומך בנקסוס 4 כפי שנכתב בכתבה (יש לי את המכשיר)

wpDiscuz

תגיות לכתבה: