Cum să spargi codurile de bare rotative de la Ticketmaster (și să nu fii prins)

Vă aduceți aminte când un bilet la concert era doar o hârtie cu un cod QR? Ticketmaster a decis că e prea banal și a inventat codurile de bare rotative. Ideea e simplă: la fiecare câteva secunde, codul se schimbă, pentru a împiedica revânzătorii să copieze biletul și să-l vândă de zece ori. Sună a magie? De fapt, e criptografie și puțină șmecherie.

Un entuziast a făcut inginerie inversă a sistemului și a descoperit că biletele sunt generate pe baza unei chei secrete și a unui timestamp. Algoritmul seamănă cu TOTP (Time-based One-Time Password), folosit în autentificarea cu doi factori. Deci biletul tău este, de fapt, o parolă unică care se reîmprospătează la fiecare 15 secunde. Comod pentru securitate, dar incomod pentru cei care vor să transmită biletul unui prieten.

Ce înseamnă asta pentru developeri?

• Dacă construiți un sistem cu coduri QR dinamice, uitați-vă la protocoale standard precum TOTP sau HOTP – sunt testate și sigure.
• Păstrați cheile secrete într-un depozit securizat; altfel, oricine cu acces la bază poate genera bilete.
• Nu uitați de UX: codurile dinamice necesită sincronizarea ceasului pe dispozitivul utilizatorului, altfel biletul poate eșua.

În general, sistemul Ticketmaster este un exemplu de aplicare corectă a criptografiei, dar, cum se spune, nu există nimic de nespărgit. Cercetătorul a demonstrat că, având acces la chei, poți emula un bilet, dar pentru utilizatorul obișnuit e mai complicat decât pare.

Comentariul studioului METABYTE: Codurile de bare dinamice sunt un exemplu excelent de cum criptografia rezolvă probleme reale de business. Dacă vă gândiți să implementați o protecție similară în produsul vostru, amintiți-vă: securitatea trebuie să fie comodă pentru utilizator, altfel el va găsi o modalitate de a o ocoli.