Máte-li mobilní telefonní číslo EuroTelu, pak vězte, že kdokoli s wapovým telefonem téhož operátora vám může z účtu odčerpat prakticky libovolnou částku.
Máte-li mobilní telefonní číslo EuroTelu, pak vězte, že kdokoli s wapovým telefonem téhož operátora vám může z účtu odčerpat prakticky libovolnou částku. Nemusí to být hacker, nemusí znát tajné adresy a metody; postup je bohužel velice jednoduchý.
Nejprve pár slov k pozadí – na problém jsem přišel při přípravě stati o WAPu EuroTelu do Mobilit 4/00. EuroTel jsme o zjištěné chybě hned informovali a se zveřejněním tohoto článku jsme chtěli počkat až do její nápravy. Jenže od té doby již uplynuly téměř čtyři týdny stálého ujišťování. Oprava měla být napřed hotova do týdne, postupně se navalovaly další odklady a podle posledních informací to bude v pořádku až 30. dubna.
Kde vznikla chyba?
EuroTel značnou část informačních služeb ve WAPu nabízí prostřednictvím své starší služby GSM InfoText. Ta je založená na textových zprávách, kdy v SMS zašlete požadavek na informaci a za chvíli přijde textovka s odpovědí (o GSM InfoTextu se víc dozvíte
na webu EuroTelu). U WAPu je to podobné, jen s rozdílem, že dotaz zadáváte on-line do připravených kolonek. Odpověď však rovněž přijde v textové zprávě.
WAP EuroTelu ale není na rozdíl od stejné služby RadioMobilu personifikovaný. Nedokáže poznat, kdo právě wapuje, a aby mohl odpověď v SMS doručit na správné telefonní číslo, musíte mu jej na zvláštní stránce sdělit. Když omylem nebo záměrně zadáte cizí telefon, systém neohlásí chybu, ale v dobré víře na něj pošle odpověď. Kolega Broža se velmi divil, když mu najednou přišla textovka s čekacími dobami na německých hraničních přechodech.
Potíž je však v tom, že některé informační služby GSM InfoTextu jsou placené. Že je platíte i při přístupu z WAPu, nenajdete u EuroTelu ani zmínku a to je moje první výtka. Na infolince sice tvrdili opak, ale test na předplacené sadě Go prokázal, že částky se odečítají. Hlavní problém je však v tom, že tyto částky jdou na účet toho čísla, které ve WAPu sami zadáte!
Co s tím?
Ideálním řešením by byl personifikovaný WAP, kdy by systém EuroTelu poznal, kdo právě wapuje. To však není jednoduchá záležitost a proto jsem pro rychlou nápravu této chyby viděl jako reálnější další možnosti: buď posílat informace podané prostřednictvím WAPu zadarmo, nebo zrušit propojení s GSM InfoTextem a nabídnout plnohodnotný WAP, kde je informace poskytnuta přímo, kdy se není třeba odpojovat a číst textovku ... velmi často se sdělením, že pro požadované parametry nebyla nalezena žádná data.
Stačilo chtít
Před čtrnácti dny mě EuroTel ujišťoval, že už probíhá testování a do několika hodin by chyba měla být opravena i na ostrém WAPu. Stále se to však odkládalo, nyní byl stanoven termín na konec měsíce a spíš se zdá, že EuroTel vsadil na jinou strategii. V květnu by měl být totiž představen mobilní portál Juice, který by s WAPem měl mít mnoho společného. Mám pocit, že EuroTel chce vydržet až do té doby, kdy současnou podobu stáhne a kompletně ji nahradí WAPem Juice.
Je to sice jen dohad, nicméně okolnosti nasvědčují, že tato hypotéza může pravděpodobná. Převedení současné textovkového WAPu do datové podoby může být otázkou řádově dnů. Pokud by to nebylo možné, mohly se služby, které využívají SMS, z WAPu dočasně stáhnout – nebo pro WAP nabídnout zdarma.
Co na to EuroTel?
Tiskový mluvčí EuroTelu, Jan Kučmáš, se kterým jsem v této věci celé tři týdny komunikoval, nám poskytl oficiální prohlášení:
„V současné době je WAP konstruován jako alternativní přístup k GSM InfoTextu. Během několika týdnů se to změní v průběhu zavádění služeb Juice. Důkladně jsme prověřili naše záznamy a nikdo se zákazníků si nestěžoval kvůli tomuto případu. Pokud by k tomu došlo, tak jeho případ přešetříme a případně mu i vrátíme peníze.“
EuroTelu samozřejmě neustálé oddalování opravy této bezpečnostní chyby vytýkáme, tento postup vůči postiženým zákazníkům je však korektní. Vzhledem k tomu, že wapové telefony nejsou tolik rozšířeny a není důvod, proč by měl někdo z cizího telefonu čerpat peníze, které sám nemůže využít (jdou na účet EuroTelu), věříme, že ani po zveřejnění tohoto článku se na jeho reklamační oddělení nesnesou hromy a blesky.
Právě vyšlo nové číslo časopisu Mobility
Na jeho webu můžete vyhrát mobil Nokia 7110!