黑客可通过行李标签代码轻松“解锁”旅客航班和身份信息

德国“安全研究实验室”研究员指出，旅客订票系统多年来一直未得到足够的保护。实际上，全球三大处理航班预定服务的“全球分布式系统”（ GDS ），可通过多个方面被别有用心的人所滥用获取旅客信息。

GDS 通过 6 位数字作为预定代码（ PNR Locator ），该 ID 被直接打印在了登机牌和行李标签上。
任意接近你行李（或看到旅客登机牌）的人，都可以轻松瞥到（或者用智能机拍张照）。

通过这一代码， 即可访问到完整的旅客信息：包括家庭和电子邮件地址、手机/信用卡号码、常旅客编号、以及当初在线预定该机票的 IP 地址等。更糟糕的是，黑客甚至无需特定的 ID 来验证上述信息。无论 GDS 和航空公司网站，通常都不会限制代码的访问/检查次数，因此理论上只要暴力攻击就能蒙对一次。此外，遍历所有旅客的信息也相当容易，因为该 ID 就是顺序排列的。对于攻击者来说，这也极大地减少了他们搜寻特定时间段内旅客信息的工作量。

想要解决这个问题，唯有提升系统的安全性，但方法其实非常简单。研究人员的建议是，在线服务应该限制每个 IP 访问旅客记录的次数，并且通过 Captchas 图形验证码来断绝暴力穷举攻击。
当然，直接替换掉传统的 6 位数字 ID 也是个好方法，只是实现需要的时间更长。

稿源：cnbeta，有删改，封面来源：百度搜索

from hackernews.cc.thanks for it.