Уязвимость систем бронирования позволяет изменить данные об авиарейсе

Большинство авиапассажиров даже не представляют, насколько легко злоумышленники могут изменить заказ на бронирование или вовсе отменить рейс. Все дело в том, что авиаперевозчики используют устаревшие незащищенные системы для обработки планов поездок клиентов, утверждает исследователь в области безопасности Карстен Нол (Karsten Nohl).

По его словам, проблема заключается в отсутствии какого-либо механизма аутентификации пассажиров, запрашивающих данные о полете. Нол и его коллега Неманя Никодиевиц (Nemanja Nikodijevic) провели исследование ряда так называемых глобальных дистрибьюторских систем (Global Distribution System,GDS). GDS - международная компьютерная система бронирования, позволяющая в режиме реального времени, с небольшим запозданием, получать информацию о проданном или, наоборот, освободившемся авиабилете на те рейсы, которые организуют авиакомпании, участвующие в системе GDS.

При оплате билета, авиакомпания предоставляет клиенту шестизначный код. Указав данный код и свое имя, пассажир может просмотреть информацию о полете на сайте авиаперевозчика и при необходимости изменить бронь. Проблема заключается в простоте шестизначных кодов, рассказал Нол в интервью ресурсу Motherboard. Коды используют только символы верхнего регистра (заглавные буквы) и не содержат нули, единицы или специальные символы. Таким образом хакеры могут легко подобрать соответствующие фамилиям пассажиров коды.

Кроме того, ряд GDS не предусматривают ограничения числа попыток ввода благодаря чему исследователи смогли за короткое время автоматически обработать миллионы возможных комбинаций.

Уязвимость систем бронирования также предоставляет злоумышленникам возможность для финансового мошенничества. Например, хакеры могут отменить рейс, получить купон от авиакомпании и забронировать другой авиабилет.