NS Businesscard: Treinreis boeken veiligheid

[Trommelrem]

Als je naar de NS boekingssite gaat voor de Businesscard (https://www.ns.nl/mijnnszakelijk/login) en je gaat vanuit Startscherm naar Treinreis boeken, dan krijg je de volgende pagina:

Klik voor het grote plaatje

Als je de muis op Doorgaan zet, dan zie je onderin de link staan. Als je er op klikt wordt uiteraard die link geopend. De gegevens in die link komen exact overeen met de gegevens van mijn kaart.

Als ik de pincode in de link verander, dan krijg ik de foutmelding "De ingevulde pincode is onjuist."
Als ik het kaartnummer in de link verander, dan krijg ik de foutmelding "Het ingevulde kaartnummer is onjuist."
Als ik het kaartnummer en de pincode verander, dan krijg ik ook "Het ingevulde kaartnummer is onjuist."

Wanneer ik dus de kaart van iemand anders (fysiek) kan zien, dan kan ik dus op deze manier achter de pincode komen. Aangezien mensen doorgaans zo veel mogelijk dezelfde pincode gebruiken, kan ik dus op deze manier met een beetje geluk ook iemand's pincode ontdekken. Het gaat slechts om 10.000 mogelijkheden, met een simpel script is een code dus zo achterhaald. Ook kan ik dan enorm veel boekingen plaatsen -> dikke rekening als gevolg.

Nu is de URL tot op zekere hoogte wel encrypted, maar toch vraag ik mij af hoe veilig dit systeem is. Moet ik mij zorgen maken? Als ik online zou boeken en iemand leest toevallig mee, dan lijkt mij dit niet bepaald veilig. Is de history van browsers ook beveiligd als het gaat om https?

Ik heb de link al gekopieerd naar een computer die nog geen NS.nl cookies o.i.d. had. Ook dan wordt de link gewoon geopend.

Maak ik mij terecht zorgen?

[ Voor 8% gewijzigd door Trommelrem op 15-07-2012 18:34 ]

[xtra]

Lijkt me een duidelijke no-go. Het proberen van pincodes kun je wel blokkeren na een paar pogingen maar de complete url blijft gewoon in je history staan. Iedereen die je computer kan gebruiken kan er zo in.

Dit kun je alleen veilig doen met een tijdelijk en nietszeggend 'token'.

Je mag wel verwachten maar er niet op vertrouwen dat je pincode veilig wordt gebruikt. Om dezelfde pincode ook voor je bankpas te hebben is dus niet heel verstandig.

[Trommelrem]

Wat kan ik in dit geval zelf doen om het veiliger te maken? Fullscreen browsen? History wissen na een boeking? Nog meer zaken wissen?

[Standeman]

Is het geheel dan niet verbonden met een account?

[Trommelrem]

Ja, op de eerdere pagina op een andere website/url. Maar als je de boekings-url kopieert naar een computer met een nieuw aangemaakt profiel (en dus lege cache/cookies) dan logt hij automatisch in en kun je direct boeken.

Zonder logingegevens in te voeren kun je dus boekingen plaatsen. En omdat je met de businesscard niet hoeft in te checken bij de OV chipkaart paaltjes is dus achteraf niet te bewijzen dat iemand een prank heeft gedaan en dat je die boekingen niet hebt gereisd.

[ Voor 47% gewijzigd door Trommelrem op 16-07-2012 14:09 ]

[Thralas]

Heb je 't al aan NS voorgelegd?

1. Authenticatie adhv. kaartnummer en PIN ipv. het bestaande account
2. Geen limiet op het aantal authenticatiepogingen.
3. Individuele errormessages voor zowel kaartnummer als PIN onjuist (ipv. 'kaartnummer of PIN onjuist')
4. De hele handel in de querystring meegeven, waardoor 't zo uit je browserhistory te vissen valt.

Wat je zelf kunt doen: enkel inloggen vanaf een vertrouwde computer (sowieso een slim idee wat betreft any account), en eventueel history wissen. Kans dat iemand hier misbruikt van maakt is eerlijk gezegd niet zo heel groot, maar dat maakt het niet minder slordig (zacht uitgedrukt) van NS.

[Taghorn]

Net even zelf geprobeerd en inderdaad, kaartnummer EN pincode worden vrolijk als URL gebruikt ipv een random hash of tijdelijk ID.
Dit is inderdaad een mogelijk security risico, als je op een publieke computer boekt of via een onveilige verbinding (man in the middle attack, etc, etc) dan kunnen ze je pincode + gegevens achterhalen.

Goed om te weten, weer een mogelijk risico op verlies van inlog gegevens ondervangen.

[pedorus]

Trommelrem schreef op zondag 15 juli 2012 @ 18:26:
Moet ik mij zorgen maken? Als ik online zou boeken en iemand leest toevallig mee, dan lijkt mij dit niet bepaald veilig.

Wel eens een creditcard online gebruikt?

Gezien het gebrek aan nuttig misbruik zal het allemaal wel meevallen. Boeken is alleen nog voor niet-ns trajecten sowieso. Ik denk dat ns dit systeem zo heeft gelaten omdat het toch uitgefaseerd zal worden.

Taghorn schreef op donderdag 19 juli 2012 @ 16:46:
of via een onveilige verbinding (man in the middle attack, etc, etc) dan kunnen ze je pincode + gegevens achterhalen.

Ook de url wordt geencrypt verzonden bij https. Browser historie zou wel kunnen, maar ja, wat moet je er mee...

[Trommelrem]

pedorus schreef op donderdag 19 juli 2012 @ 17:09:
[...]

Wel eens een creditcard online gebruikt?

Ja. Het nummer ken ik uit mijn hoofd zodat ik alleen scherm en toetsenbord hoef af te schermen. Bovendien heb ik de limiet verlaagd zodat een dief mij niet op kosten kan jagen. Verschil met de NS is dat ik kies wanneer mijn kaartnummer in beeld verschijnt.

Gezien het gebrek aan nuttig misbruik zal het allemaal wel meevallen. Boeken is alleen nog voor niet-ns trajecten sowieso. Ik denk dat ns dit systeem zo heeft gelaten omdat het toch uitgefaseerd zal worden.

Ik moet anders gewoon boeken voor NS trajecten.

Ook de url wordt geencrypt verzonden bij https. Browser historie zou wel kunnen, maar ja, wat moet je er mee...

De meeste hacks vinden plaats door user onoplettendheid. Niet door decrypten van dingen.