He auditado e indagado un poco sobre el funcionamiento de los QR para entrar a los locales de restauración de Castilla la Mancha.
Me parece algo chapucero, temerario y falsificable. Alguien mal intencionado o un hacker podría crear estragos.
Abro hilo.⬇️
Me parece algo chapucero, temerario y falsificable. Alguien mal intencionado o un hacker podría crear estragos.
Abro hilo.⬇️
La web que te proporciona el código QR solo te pide un nombre, apellido, DNI y móvil. Hasta aquí bien.
Y si alguien tiene tus datos (DNI) o por casualidad introduce un DNI que cumpla el algoritmo del módulo 23 pasa el formulario y te genera QR de una persona desconocida...⬇️
Y si alguien tiene tus datos (DNI) o por casualidad introduce un DNI que cumpla el algoritmo del módulo 23 pasa el formulario y te genera QR de una persona desconocida...⬇️
Es decir, el nombre parece no importar mientras se introduzca un DNI válido y un móvil que reciba SMS. No tienen manera de cotejar que un DNI pertenece a un determinado n° de móvil. Por lo que te mandarán un SMS con un QR de una persona que no eres tú.
Fatal... ⬇️
Fatal... ⬇️
En otras palabras, yo digo que soy Bill Gates Puertas en la web y se lo cree. Realmente soy Fulanito Palotes que ha suplantado su identidad (phishing). Fulanito ya tiene un QR que le permite entrar como Bill, la podría liar y contagiar, Sanidad pensará que fue el ficticio Bill.⬇️
¿Se necesita introducir el móvil personal? No tiene porqué alguien podría usar el de su abuela, uno robado o utilizar un servicio online receptor del SMS con el QR.
Pero ojo, este solo es uno de los métodos.⬇️
Pero ojo, este solo es uno de los métodos.⬇️
La gente puede empezar perfectamente a clonar e intercambiarse (o robar) códigos QR y su URL con gente de otras ciudades y pueblos, el caos puede estar servido si se lo proponen...⬇️
Incluso se podría a partir de la URL generar QR aunque esto es más complejo y no he podido probarlo con la app de escaneo de los hosteleros manchegos.⬇️
Dicho esto, auguró que este sistema es un fracaso y un peligro, se va a crear más caos que control. Insto al Gobierno de Castilla La Mancha que retire este sistema porque es un peligro y cualquiera podría hacerse pasar por nosotros y comprometernos.
Es un sistema vulnerable.
Es un sistema vulnerable.
También es posible crear un bar ficticio sin ningún tipo de verificación secundaria. Así luce el panel de control del hostelero. 
• • •
Missing some Tweet in this thread? You can try to
force a refresh
