30 июля 2016 г.

Поиск уязвимостей открыт

Оказался я сегодня в одном московском Ашане. Впервые столкнулся с новой, несомненно прогрессивной, системой расчётов между магазином и покупателем.

На кассе кассир сканирует товар. По окончании просто выдаёт чек со штрих-кодом (1). Товар, кстати, не упаковывает, надо самому - что проблема, потому что надо следить за корректностью сканирования, телегой с вещами и успевать раскладывать по пакетам. С чеком 1 надо пройти дальше за кассы. Там стоят платёжные терминалы, которые принимают как карты, так и наличные. Терминалу надо отсканировать штрих-код на чеке 1. По окончании оплаты терминал выдаёт ещё один чек (2) со штрих-кодом и со списком покупок. Далее проходишь к выходу из кассовой зоны, где оказываешься перед закрытыми воротами. Чтобы ворота открылись, необходимо отсканировать штрих-код с чека 2.

Очевидно, это всё делается чтобы перенести нагрузку с кассира на покупателя: упаковка товара, оплата. Думаю, идея была в том, чтобы повысить пропускную способность касс.

Однако. Даже я, нисколько не security expert, сразу увидел механизм, позволяющий экономить (если не зарываться) до трети/половины семейного бюджета.

Идём в магазин вдвоём. Набираем товара. Оплачиваем двумя разными чеками - 1-1 и 2-1. В терминале оплачиваем чек 1-1, получаем чек 1-2. Весь товар складываем в одну телегу и счастливо улыбаясь выезжаем по чеку 1-2. Чек 2-1 благополучно прощаем магазину. В этом случае экономим 1/2 семейного бюджета.

Вариант посложнее. Как в первом случае, получаем 2 чека: 1-1 и 2-1. Оплачиваем оба чека, получаем 1-2 и 2-2. С одной телегой выходим по чеку 1-2. Чек 2-2 лежит в кармане. Разгружаемся, возвращаемся в магазин. Набираем товара, получаем чек 3-1. Вертимся около терминала, изображаем что платим. Выходим по чеку 2-2. Чек 3-1 прощаем магазину. Этот вариант экономит нам 1/3 бюджета.

Интересно, это реальная уязвимость или у них есть такие приборы, о которых они нам не расскажут?

29 июля 2016 г.

Сразу в мозг!

Иногда вот заходит человек в транспорт и не поймёшь - он разговаривает с голосами в голове или у него гарнитура. Впрочем, на некоторых посмотришь, и сразу ясно - гарнитура чисто для прикрытия.

9 июля 2016 г.

Личинка суверенного Чебурнета?

Пытаюсь сегодня открыть сайт tensorflow.org. Ничегошеньки. Просто пустота, даже не 404. Трассирую. Где-то начиная с 10 хопа - таймауты. Недоумеваю. Потом у меня случается приступ воображения, включаю TunnelBear и отлично попадаю на сайт.

Закон Яровой в действии в отдельном провайдере? Не думаю. У меня ещё до него другой не менее "экстремисцкий" сайт так же не открывался.

Но Чебурнетом попахивает, да. Онлайм (он же Ростелеком), если что.