Кто победит: параноидальная система безопасности в аэропорту с ее проверками документов на каждом шагу или старая добрая SQL-инъекция?
💬 Для сотрудников авиалиний в аэропортах нередко действуют специальные условия. В США есть программа KCM (Known Crewmember), благодаря которой они могут пройти регистрацию без очереди, даже если летят по личным делам, а не по работе.
💬 Другая программа, CASS (Cockpit Access Security System) дает доступ в кабину самолета — то есть подтверждает, что человека (который не является членом экипажа) можно подпускать к приборной панели. Ей могут воспользоваться пилоты, чтобы сидеть на отдельном сидении в кабине, а не занимать место в салоне.
💬 Управляет этой системой компания ARINC — она хранит все данные и обрабатывает запросы от аэропортов и авиалиний. Последние сами ищут решения, чтобы получить доступ к данным и подключить к KCM и CASS своих сотрудников.
💬 Крупные компании разрабатывают все решения своими силами, а небольшие обращаются к посредникам — например, FlyCASS. Она предоставляет им веб-интерфейс для доступа к системам KCM и CASS.
И вот она-то и оказалась во всей этой цепочке слабым звеном.
🔜 Двое охотников за багами, Иэн Кэррол и Сэм Карри, сделали сайту FlyCASS инъекцию SQL и получили к админский доступ. Он, в свою очередь, дал им доступ к списку участников KCM и CASS и возможность добавить в него еще кого-нибудь без всяких дополнительных проверок.
Они сообщили о находке в Министерство внутренней безопасности, и дыру заделали. Но осадочек остался — оказалось, что с помощью одного из старейших способов взлома можно получить доступ к критически важной информации. Наверное, зная это, проходить проверки в аэропорту еще обиднее…
А как вам история — не потеряли доверие к системам безопасности в аэропорту?
🔥 — Нет, конечно, это разовый случай в отдельной стране!
🙈 — Да, теперь сомнения закрадываются…