content牛角サブスクの脆弱性UXWebセキュリティ脆弱性SocialEngineering※ブコメとかに対するフィードバックを色々追記しています牛角サブスクに22日通った。その中で、色々な脆弱性が見受けられたため、詳しく書く。※この記事で紹介する脆弱性を実際に突いてサービスを不正利用すると、詐欺罪に問われる可能性があるので、絶対にやらないこと。この記事は啓蒙を目的としており、システムの悪用を推奨していない。最初に、牛角サブスクのシステムについて説明する。いうサービスに登録し、クレカでサブスクパスに課金する。・店でパスの画面を見せる。画面には1日1回だけ押せるボタンがあり、ボタンを店員の目の前で押すことで、サービス権を行使する。食べ放題が無料になる・最後にレジで会計するが、食べ放題対象メニューの代金はすべて0円となる。追加メニューなどはここで普通に支払うこのシステムだが、はっきり言ってザルザルのザルすぎて、正直金をとって運用するレベルに達していない。名前や顔写真の入力項目があるが、未設定でも店員からは一度も咎められなかった。プロフが未設定だと店員には客の本人確認ができない。これにより、規約で禁止されているにもかかわらず、複数人でアカウントを共有できる。これだけでも問題だが、このことは、次に説明する脆弱性の危険度を増幅する。プロフに嘘を入力するのも可能なので、そもそもプロフによる本人確認は完全に形骸的なものであるまた、試していないのでわからないが、プロフィールの変更が何度でも可能な場合、当然、アカウントの使いまわしは防げない。pass)は、パスの画面を店員に提示して、目の前で当日の利用権を行使する、という確認作業が必要であるが、それが適切に行われていない店が複数あった。具体的には、パスの画面を見せるだけで、ボタンをタップしなくても注文が通るケースがあった。これが通ると、1日に何度でもサービスを受けることができる。A店で食べ放題を楽しんだあと、別のB店でまた食べ放題を楽しめる。それは非現実的だが、自分が食べ放題を楽しんだ後、友人知人に食べ放題をプレゼントすることは現実的であり、知らない人間に食べ放題権を販売することすら可能である。不正防止にSMS認証を採用しているが、認証コードさえ共有できれば、アカウントは共有できる。それどころか「サブスクで」と言うだけで、スマホの画面を見ることもなく通されるパターンもあった。サブスク権を購入していなくても無銭飲食ができてしまう。※はてブで「顔覚えられたのでは?」と指摘があったが、これは初めて行った店舗だった。ちなみに顔パスになったとして、サブスク解約すれば無銭飲食できるどれだけシステムがうまく作られていても、しょせん運用するのは現場のバイトである。現場の運用ができていなければあらゆるシステムは無為となる。説明が不十分な店が多かったのではないか。それに、バイトにしてみれば、客がサブスク契約してようが無銭飲食だろうが関係ないんですよね。利用方法は、スマホ画面を店員に見せ、目の前でボタンをタップして利用権の行使を見せるというものだった。これ、画面、偽造し放題じゃね?????店員はスマホの画面をちらっと見るだけ。QRなどの認証もない。自前の鯖に適当に丸ごとコピーした偽造サイトを掲示しても、おそらくまったく気づかれないと思われる。ちなみに、私が今月から利用しているクラフトビールサブスク、ラーメンサブスクのプラットフォームであるfavyでは、画面をタップするとバーコードが表示され、それを店側の機械で読み取ることで利用権の行使が完了する。これはセキュアである。ラーメンサブスクは店員目視だった。してはQRやバーコードによる認証システムは実装しており、使うか使わないかは店側の判断とのこと。設備投資渋る店にも無理やり導入したいからセキュリティは置いといてゴリゴリ営業するよ!」これにはワイもニッコリこれは脆弱性ではないのか?「脆弱性ではない」「Qiitaでやるな」「Qiita荒らし」のような趣旨のブコメが一定数あるが、私はこれは脆弱性であると考える。サービスは、コンピュータで動くプログラムだけでなく、運用してはじめて完結する。目の前のエディタをこちょこちょするだけでなく、運用する人間、利用する客の動きをデザインするところまでがエンジニアの仕事である。プログラムのバグがなくても、運用で悪用できるシステムはそもそも設計がおかしい。日本だから許されているが、日本国外に出た瞬間に憤死することは目に見えている。「脆弱性を発見した!共有!」が嫌われるという話について、まず、この記事は悪用防止のため牛角サブスク終了まで公開を待った。対策取るなら待つで?」と問い合わせたところ「うちは対策済なんで、店が使うかどうかや」という返答だったので公開に差支えがないと判断した。現状でも、セキュアな認証を導入していない店については悪用できるが、多くのサブスク運営はITベンチャーであり、リテラシーの低い企業が、セキュリティについて十分な理解のない状態で営業に口八丁でゴリ押しされて導入する場面もあろうと推測するので、本記事はそういったサブスク導入企業に対する注意喚起の面もある。いずれにしても、エンジニアとしてある程度のモラルは保ったうえで記事を公開したつもりである。ないプランだけどサブスクを利用しなくても行ってみたい。upLoginユーザーは見つかりませんでした。