איך אפליקציה כזו (למשל כמו "פתיחה בנגיעה") "יודעת" לפתוח רק את שערי החניון של הבניין שלנו, ולא שערים של חניונים אחרים?

יש לציין שהכנסת מספרי הטלפון של הדיירים שמקבלים הרשאה לפתוח את השער היא באמצעות אפליקציה אחרת - אפליקציית ניהול שאינה תת אפליקציה של פתיחה בנגיעה.

כמו שאני מבין מההסבר שם, היא פשוט מדמה חיוג לאותו מספר שאליו צריך לחייג כדי לפתוח באמצעות הטלפון.

כן, אבל איך היא "יודעת" שכשאני לוחץ עליה, היא תפתח לי דווקא את השער של הבניין שלי ולא את השער של בניין אחר שגם הדיירים שלו משתמשים באפליקציה הזו?

וכשאתה מחייג לטלפון שפותח שער, איך המערכת יודעת לפתוח לך את השער של הבניין שלך ולא של בניין אחר?

כשאני מחייג (שיחה טלפונית), זו שיחה מהטלפון שלי שבו יש סים עם המספר שלי שלאף אחד אחר אין אותו. המספר שלי מזוהה במערכת (בשער מותקן כרטיס סים).

האפליקציה לעומת זאת, אינה ייחודית. כל אחד יכול להוריד אותה.

אז השאלה שלי בעינה.

עם כל הכבוד לסים הייחודי שלך מערכת הטלפוניה בכללי מאפשרת די בקלות לשלוט במספר שמופיע בשיחה מזוהה ככה שיראה כאילו זה מגיע מהטלפון שלך. זה כנראה מספיק כדי לפתוח שערי חניה, לא מדובר פה באבטחה ברמה גבוהה במיוחד.

ציטוט של ilanb0

האפליקציה לעומת זאת, אינה ייחודית. כל אחד יכול להוריד אותה.

אז השאלה שלי בעינה.

כמו שאמרתי קודם:

 

ציטוט של QttP

כמו שאני מבין מההסבר שם, היא פשוט מדמה חיוג לאותו מספר שאליו צריך לחייג כדי לפתוח באמצעות הטלפון.

 

מן הסתם, כשהיא מותקנת על הטלפון, היא מדמה חיוג מהמספר של אותו טלפון. זה באמת קשה להבין?

ציטוט של QttP

כמו שאמרתי קודם:

 

 

מן הסתם, כשהיא מותקנת על הטלפון, היא מדמה חיוג מהמספר של אותו טלפון. זה באמת קשה להבין?

אוקיי, אז כשאתה תוריד את האפליקציה הזו ותעמוד מול שער החניון שלנו, ותלחץ על האפליקציה, מה ימנע מהשער להפתח גם עבורך? לכאורה כל התנאים בשלים - יש לך אפליקציה, יש לך טלפון, יש לך שער מולך - והנה אתה בפנים....

או שלא...?

ואם לא - למה לא (זו בעצם השאלה שאיתה התחלתי..).

 

אלו ההרשאות לכאורה. אני לא יודע אם network access גם מכוון לביצוע שיחת טלפון.

אבל מה שבטוח האפליקציה כן מקבלת את מיקומך לפי ה-GPS.

לאפליקציה אין הרשאות להוציא שיחה מהטלפון, האפליקציה מדברת עם שרת שמתקשר ו"מתחזה" למספר שנתת לו.

 

ציטוט של ilanb0

אוקיי, אז כשאתה תוריד את האפליקציה הזו ותעמוד מול שער החניון שלנו, ותלחץ על האפליקציה, מה ימנע מהשער להפתח גם עבורך?

צריך לדעת לאיזה מספר מחייגים כדי לפתוח את השער וצריך לדעת מספר טלפון שיש לו רשות לפתוח, בלי שני אלה האפליקציה לא תדע לפתוח  את השער. אלו כמובן לא נתונים שקשה במיוחד להשיג.

 

לא בדקתי, אולי האפליקציה מאמתת שהמספר שנתת באמת בשליטתך על ידי שליחת sms עם קוד אבל שום דבר לא מונע ממישהו אחר לעשות אפליקציה דומה בלי שום אימות. 

 

תבין שהאבטחה של שערים כאלה היא רק בשביל שמישהו מזדמן לא יוכל לתפוס לך את החניה, אל תצפה ליותר מזה.

 

 

ציטוט של etal

 

 

תבין שהאבטחה של שערים כאלה היא רק בשביל שמישהו מזדמן לא יוכל לתפוס לך את החניה, אל תצפה ליותר מזה.

 

 

תראה, את מטילי הזהב של הבניין אנחנו לא מחזיקים בחניון, והדרכים להתפלח לחניון שלנו הן רבות (למשל - כניסה אחרי דייר שפתח עבור עצמו את השער), אז נושא האבטחה לא ממש קריטי, אבל אני באמת שואל שאלת תם:
יש אפליקציית ניהול בשם שונה לגמרי שאליה הוזנו מספרי הטלפון של הדיירים.
מאידך,
יש את האפליקציה "פתיחה בנגיעה" שהיא עבור הדיירים לפתיחת השער.

למעשה, שתי אפליקציות שונות. מה שמעניין אותי, איך אפליקציית "פתיחה בנגיעה" קוראת דווקא את מספרי הטלפון של הדיירים "שלנו" ולא את המספרים של דייר אחר שמשתמש באותה אפליקציה.

ציטוט של ilanb0

אוקיי, אז כשאתה תוריד את האפליקציה הזו ותעמוד מול שער החניון שלנו, ותלחץ על האפליקציה, מה ימנע מהשער להפתח גם עבורך? 

אותו דבר שימנע ממך לפתוח את השער בבניין שלי אם תחייג למספר של השער. מספר הטלפון שלי לא במאגר שמשויך לשער שלך ושלך לא במאגר המשויך לשער שלי.

 

ציטוט של etal

לאפליקציה אין הרשאות להוציא שיחה מהטלפון, האפליקציה מדברת עם שרת שמתקשר ו"מתחזה" למספר שנתת לו.

אם זה המצב, אז אכן זה די פרוץ. כל מה שצריך הוא לבקש מהשרת לחייג בשם מישהו אחר.

 

ציטוט של ilanb0

מה שמעניין אותי, איך אפליקציית "פתיחה בנגיעה" קוראת דווקא את מספרי הטלפון של הדיירים "שלנו" ולא את המספרים של דייר אחר שמשתמש באותה אפליקציה.

וואי, אתה באמת קשה הבנה...

 

לפי ההסבר של etal, אפליקציית הלקוח לא קוראת שום מספרי טלפון. היא רק יודעת מה מספר הטלפון של המכשיר שהיא מותקנת עליו. את המספר הזה היא שולחת לשרת, שמחייג בשמה למספר הטלפון של השער. השער עצמו מבצע את האימות בדיוק כמו שהוא עושה כשמחייגים ישירות מהמכשיר.

 

משום מה זה שיש אפליקצייה אחת לניהול ואחרת לשימוש עושה לך קצר איפשהו. אבל אם תחשוב הזה - תגלה שזה כמעט תמיד המצב בעולם התוכנה. מה שאתה צריך להבין שהתוכנה (בין אם לניהול או לשימוש) היא רק ממשק. פרטי המשתמשים וההרשאות תמיד שמורים באיזשהו מסד נתונים בשרת כלשהו, לא בתוך אף אחת מהאפליקציות.

ציטוט של QttP

אותו דבר שימנע ממך לפתוח את השער בבניין שלי אם תחייג למספר של השער. מספר הטלפון שלי לא במאגר שמשויך לשער שלך ושלך לא במאגר המשויך לשער שלי.

 

אם זה המצב, אז אכן זה די פרוץ. כל מה שצריך הוא לבקש מהשרת לחייג בשם מישהו אחר.

 

וואי, אתה באמת קשה הבנה...

 

לפי ההסבר של etal, אפליקציית הלקוח לא קוראת שום מספרי טלפון. היא רק יודעת מה מספר הטלפון של המכשיר שהיא מותקנת עליו. את המספר הזה היא שולחת לשרת, שמחייג בשמה למספר הטלפון של השער. השער עצמו מבצע את האימות בדיוק כמו שהוא עושה כשמחייגים ישירות מהמכשיר.

 

משום מה זה שיש אפליקצייה אחת לניהול ואחרת לשימוש עושה לך קצר איפשהו. אבל אם תחשוב הזה - תגלה שזה כמעט תמיד המצב בעולם התוכנה. מה שאתה צריך להבין שהתוכנה (בין אם לניהול או לשימוש) היא רק ממשק. פרטי המשתמשים וההרשאות תמיד שמורים באיזשהו מסד נתונים בשרת כלשהו, לא בתוך אף אחת מהאפליקציות.

"וישמן ישורון ויבעט"...
חשבת שאולי ההסברים היו "סתומים"?
אבל ההסבר האחרון לעומת זאת ברור ועכשיו גם הגיעה ההבנה.