Pull to refresh

Очередной обход авторизации в публичных Wi-Fi сетях

Reading time 4 min
Views 22K
На эту тему уже было несколько статей — Как обойти SMS-идентификацию при подключении к публичным Wi-Fi сетям? и И еще раз: не пользуйтесь публичным WiFi, но появляются новые методы авторизации, поэтому пришло время поговорить об этом еще раз. Недавно в московском кафе я наткнулся на незнакомый способ авторизации в сети. Сразу возникло желание проверить, можно ли обойти эту авторизацию, и чем это грозит обычным людям.



Подтверждение личности при подключении к публичным Wi-Fi сетям в России — требование закона. Существует несколько способов, наиболее популярные из них — ввод кода из СМС или ввод последних цифр номера телефона, с которого был получен звонок. Однако, в этом кафе была использована авторизация, предоставленная сервисом wifi-way.ru, которая работает немного иначе. Пользователю предлагается указать свой номер телефона, а потом совершить с него звонок на номер этого сервиса. После установки соединения звонок будет сброшен, а пользователь — авторизован.

Кажется, что это удобный способ: компания не тратит деньги на отправку СМС, достаточно купить номер телефона и отслеживать входящие звонки. Однако, есть как минимум один серьезный подводный камень — принципиальная возможность осуществления звонков с подменой номера.

Существующая реализация мобильных сетей позволяет начать звонок с произвольным Caller ID (номер телефона вызывающего абонента), после этого вызываемый абонент получит звонок с подмененным номером звонящего. Это происходит из-за того, что мобильные сети построены на доверии. Детали выходят немного за рамки этой статьи, здесь же достаточно упомянуть то, что для выполнения подобных звонков можно либо достаточно долго покопаться в настройках АТС, либо просто использовать какой-то сервис для звонков с подменой номера и немного «магии», чтобы позвонить на российские номера.

Крайне сложный обход авторизации выглядит так:

  1. Подключение к сети
  2. Указание номера телефона
  3. Звонок с подменой Caller ID на номер из предыдущего пункта

Кажется, что это довольно сложный способ доступа в интернет, проще купить SIM-карту без паспорта, если не хочется отдавать номер телефона подобным компаниям (а ведь еще они продают их владельцам заведений, добро пожаловать в мир потенциального спама). Но главное — не сам доступ в интернет, а доступ с использованием чужого телефонного номера. В двух предыдущих статьях описывались способы, которыми можно получить доступ к существующим «сеансам» соединения, поэтому можно просто не пользоваться публичным Wi-Fi и жить спокойно. В этом случае злоумышленник может указать любой номер телефона, опубликовать где-нибудь призыв к экстремизму или работу японских художников, а дальше все зависит от везения.

Если был использован иностранный, несуществующий или «элитный» номер, то никто не пострадает, хотя компания может получить много интересных вопросов, почему у них в базе записан именно этот номер. Но если они используют такой метод авторизации и продают его, то они явно готовы к этому.

А вот если официальный владелец номера живет в этом городе, то все гораздо более интересно. Возможно, что единственный шанс — пытаться убедить следователей и суд проверить по логам мобильного оператора, был ли в реальности совершен этот звонок с использованием SIM-карты абонента. Но уже это может заставить потратить очень много времени и сил.

Дополнительный интересный момент — владелец номера не может узнать, что его номер был использован для авторизации: он не получает ни подозрительного сообщения с кодом, ни звонка с неизвестного номера. В худшем случае об этом скажет следователь.

Я написал на почту wifi-way.ru, чтобы узнать, что они об этом думают. Ответ был довольно ожидаемый: про возможность подмены номера знаем, система сохранит тот номер, который пришел из мобильной сети.

К этому сложно что-то добавить, могу только пожелать всем удачи и счастливых номеров телефонов, которые не будут использованы злоумышленниками при авторизации.

Глубоко личное мнение об ответственности компаний за безопасность людей (а не пользователей)
Необходимо четко разделять компании в зависимости от того, работают ли они только со своими пользователями или с неограниченным кругом людей. Если сервис предлагается только для тех, кто зарегистрировался и принял соглашение вида «Безопасностью не занимаемся, используем дырявые технологии, взлом возможен, добро пожаловать в клуб любителей унижений», то компания имеет полное право не исправлять уязвимости и потенциальные проблемы. Хотя в ряде случаев их может покарать закон, но это уже отдельная история.

Однако, существуют и другие компании: в случае использования уязвимостей в таких сервисах любой человек может пострадать, даже если он сам не пользовался таким сервисом. Сюда относятся и государственные сервисы, и проклинаемые многими платные подписки, и системы для авторизации в публичных сетях. Хотя я и не слышал о наказании тех, от чьего имени через публичные сети были написаны призывы к экстремизму, проведены атаки на какие-то системы, или, что самое ужасное, опубликованы работы японских художников, я абсолютно не могу гарантировать, что такого не произойдет, а у жертвы будет возможность оправдаться.

Поэтому я убежден, что компании, от действия или бездействия которых может пострадать тот, кто не заключал с ними договор, должны либо использовать безопасные технологии, насколько это возможно, либо быть наказаны обществом. К сожалению, при этом не стоит забывать об инертности людей и готовности игнорировать все проблемы с безопасностью, пока они не коснутся их самих. Это показывает компаниям, что можно забивать на безопасность всех, народ схавает и забудет через пару дней. Но это уже тема для отдельной грустной статьи.
Tags:
Hubs:
If this publication inspired you and you want to support the author, do not hesitate to click on the button
+12
Comments 19
Comments Comments 19

Articles