Metro Hackers Encuentra estacionamiento gratis en San Francisco

Los ambiciosos planes de San Francisco para implementar parquímetros inteligentes computarizados se han topado con un inconveniente: pueden ser hackeados para estacionarse gratis.

Los investigadores de seguridad dicen que es fácil para un hacker con conocimientos técnicos fabricar una tarjeta de pago falsa que les dé acceso ilimitado. estacionamiento. Para probar su punto, hablarán sobre cómo construyeron esa tarjeta en unos tres días en una conferencia de seguridad informática el jueves.

Según Joe Grand, propietario de Grand Idea Studio, los parquímetros de San Francisco no tienen forma de decirlo la diferencia entre una tarjeta de pago genuina y una falsificación. Estas tarjetas se pueden usar para pagar 23,000 metros en toda la ciudad.

[Lectura adicional: cómo eliminar el malware de su PC con Windows]

Grand, que no había trabajado mucho con tarjetas inteligentes, dijo que el trabajo no era particularmente difícil de hacer. Su tarjeta simplemente reproduce las mismas señales utilizadas por las cartas genuinas en el medidor. Aunque nunca usó la tarjeta para obtener estacionamiento gratis, Grand dijo que pudo construir una tarjeta con un saldo de US $

.99, el máximo posible, que nunca se quedaría sin fondos.

"Si encuentro esto, "Es probable que alguien más sepa sobre el problema y posiblemente lo esté explotando", dijo. "Eso nos está costando dinero a todos los contribuyentes".

Para descubrir cómo funcionaba el sistema de pago, Grand conectó un osciloscopio a un parquímetro y supervisó lo que sucedió cuando utilizó una tarjeta de pago genuina. Luego analizó esos datos a mano y escribió un programa de software que emularía la tarjeta inteligente. Después de algunas pruebas y errores, finalmente descubrió lo que su programa necesitaba decir al medidor para poder trabajar. Luego construyó una tarjeta que reproduciría los mismos datos, utilizando una tarjeta inteligente programable llamada Silver Card.

San Francisco usa medidores McKay Guardian XLE, dijo Grand, pero debido a que estos medidores se implementan de manera diferente en diferentes ciudades, su técnica puede no funciona fuera de San Francisco.

Las ciudades de los EE. UU. están implementando sistemas de parquímetros informatizados diseñados para facilitar el pago y la administración. Los medidores inteligentes de San Francisco se implementaron como parte de un programa más amplio, conocido como SFpark, que eventualmente desplegará sensores de estacionamiento que pueden detectar cuando un espacio está vacío y transmitir esa información de forma inalámbrica a los conductores que buscan lugares.

Pero ha habido algunos problemas. En mayo, cerca de 125 contadores inteligentes en Chicago dejaron de funcionar correctamente, lo que provocó especulaciones de que las máquinas podrían haber sido pirateadas. Funcionarios de la ciudad atribuyeron la falla a un fallo informático, y Grand dijo que la explicación de la ciudad suena correcta. "Personalmente, creo que los fallos fueron un problema de firmware, un error en el sistema", dijo.

Debido a que nunca antes habían mirado parquímetros, Grand y sus dos co-investigadores, Jacob Appelbaum y Chris Tarnovsky, también Dediqué un tiempo a desmontar un parquímetro que recogieron en eBay y tarjetas de pago para entender cómo funcionan. Presentarán sus hallazgos en la conferencia de seguridad Black Hat en Las Vegas el jueves.

No tienen la intención de proporcionar detalles técnicos completos sobre cómo construyeron su tarjeta falsa, sin embargo, ya que esa información podría utilizarse indebidamente para estafar a San Francisco.

Dicen que si San Francisco quiere evitar el fraude en su sistema, debería buscar asegurar los medidores desarrollando una mejor forma de autenticar las tarjetas inteligentes. Esto puede implicar que los medidores sean incluso más inteligentes, para que puedan comunicarse entre ellos y procesar firmas digitales durante cada transacción.

"No se debe confiar en los dispositivos de hardware, deben analizarse antes de implementarlos", dijo Grand.. "Estos dispositivos no son seguros."