NFC : une app Android utilise une faille pour utiliser gratuitement les transports urbains américains

Source : "Le Monde informatique.fr"

Selon les chercheurs qui ont développé l'application pour Android, les systèmes de validation par cartes sans contact des transports locaux de plusieurs villes américaines pourraient être piratés.

Comme l'ont démontré des chercheurs pendant la conférence sur la sécurité EUSecWest qui s'est tenue à Amsterdam (les 19 et 20 septembre 2012), une application Android permet de trafiquer les cartes sans contact des systèmes de transport des villes du New Jersey et de San Francisco. Grâce à cette application, les voyageurs peuvent réinitialiser à l'infini le solde de leur carte et voyager gratuitement. « Avec l'application Android UltraReset, un smartphone doté de la technologie de communication sans contact NFC peut lire les données d'une carte de transport et voir le nombre de voyages restant, » ont ainsi expliqué Corey Benninger et Max Sobell, chercheurs en sécurité chez Intrepidus Group et développeurs de l'application. « Quand le solde est épuisé, les voyageurs peuvent réécrire les données stockées sur la carte - par exemple 10 voyages - en utilisant la même application, et la recréditer de 10 voyages », ont montré les chercheurs. Selon Corey Benninger, « on peut faire ce Reset à volonté ». UltraReset fonctionne sous Android 2.3.3 ou ultérieure.
[...]
Depuis jeudi, Corey Benninger et Max Sobell ont livré une version corrigée de l'application UltraReset. La nouvelle application nommée UltraCardTester doit permettre de tester la sécurité des systèmes de transport locaux.
 [...]

L'article complet :
http://www.lemondeinformatique.fr/actualites/lire-nfc-une-app-android-utilise-une-faille-pour-utiliser-gratuitement-les-transports-urbains-americains-50541.html

Regardez cette petite vidéo (54s) :


UltraReset - Using a smartphone for free subway rides from Intrepidus Benn on Vimeo.