Teenager haben die CharlieCard der Boston Subway gehackt, um unbegrenzt kostenlose Fahrten zu erhalten – und dieses Mal wurde niemand verklagt

Andy Greenberg

Anfang August 2008, vor fast genau 15 Jahren, wurde die Hackerkonferenz Defcon in Las Vegas von einem der schlimmsten Skandale ihrer Geschichte heimgesucht. Kurz bevor eine Gruppe von MIT-Studenten vorhatte, auf der Konferenz einen Vortrag über eine Methode zu halten, die sie gefunden hatten, um Freifahrten im Bostoner U-Bahn-System zu erhalten – bekannt als Massachusetts Bay Transit Authority –, verklagte die MBTA sie und erwirkte eine einstweilige Verfügung, um dies zu verhindern sie vom Sprechen ab. Der Vortrag wurde abgesagt, jedoch nicht bevor die Folien der Hacker an die Konferenzteilnehmer verteilt und online veröffentlicht wurden.

Im Sommer 2021 fuhren die 15-Jährigen Matty Harris und Zachary Bertocchi mit der Bostoner U-Bahn, als Harris Bertocchi von einem Wikipedia-Artikel erzählte, den er gelesen hatte und in dem dieser Moment in der Geschichte der Hacker erwähnt wurde. Die beiden Teenager, beide Schüler der Medford Vocational Technical High School in Boston, begannen darüber nachzudenken, ob sie die Arbeit der MIT-Hacker nachahmen und vielleicht sogar kostenlose U-Bahnfahrten bekommen könnten.

Sie dachten, es müsse unmöglich sein. „Wir gingen davon aus, dass sie das Problem behoben hätten, weil das mehr als ein Jahrzehnt zurücklag und es große Schlagzeilen gemacht hatte“, sagt Harris.

Bertocchi springt zum Ende der Geschichte: „Sie haben es nicht getan.“

Angela Wasserschneider

Julian Chokkattu

Lexi Pandell

Will Knight

Jetzt, nach zwei Jahren Arbeit, haben das Teenagerpaar und zwei Hackerfreunde, Noah Gibson und Scott Campbell, die Ergebnisse ihrer Forschung auf der Defcon-Hackerkonferenz in Las Vegas präsentiert. Tatsächlich haben sie nicht nur die Tricks der MIT-Hacker von 2008 nachgeahmt, sondern sie sogar noch einen Schritt weitergeführt. Das Team von 2008 hatte Bostons Magnetstreifenkarten von Charle Ticket gehackt, um sie zu kopieren, ihren Wert zu ändern und Freifahrten zu erhalten – aber diese Karten gingen 2021 außer Betrieb. Also erweiterten die vier Teenager andere Untersuchungen des Hackerteams von 2008, um sie vollständig rückgängig zu machen Entwickeln Sie die CharlieCard, die berührungslosen RFID-Smartcards, die die MBTA heute verwendet. Die Hacker können nun einen beliebigen Geldbetrag auf eine dieser Karten aufladen oder sie unsichtbar als ermäßigte Studentenkarte, Seniorenkarte oder sogar als MBTA-Mitarbeiterkarte kennzeichnen, die unbegrenzte Freifahrten ermöglicht. „Sie nennen es, wir können es schaffen“, sagt Campbell.

Um ihre Arbeit zu demonstrieren, haben die Teenager sogar einen eigenen tragbaren „Verkaufsautomaten“ entwickelt – ein kleines Desktop-Gerät mit Touchscreen und RFID-Kartensensor –, mit dem sie einer CharlieCard einen beliebigen Wert hinzufügen oder ihre Einstellungen ändern können Sie haben die gleiche Funktionalität in eine Android-App integriert, mit der Sie mit einem Fingertipp Guthaben hinzufügen können. Beide Tricks demonstrieren sie im folgenden Video:

Im Gegensatz zum U-Bahn-Hackerangriff der Defcon im Jahr 2008 – und als Zeichen dafür, wie weit Unternehmen und Regierungsbehörden in ihrer Beziehung zur Cybersicherheitsgemeinschaft gekommen sind – sagen die vier Hacker, dass die MBTA nicht damit gedroht habe, sie zu verklagen oder zu blockieren ihr Defcon-Talk. Stattdessen wurden sie Anfang des Jahres in die Zentrale der Verkehrsbehörde eingeladen, um einen Vortrag über die gefundenen Schwachstellen zu halten. Dann bat die MBTA höflich darum, einen Teil ihrer Technik zu verschleiern, um anderen Hackern die Nachahmung zu erschweren.

Die Hacker sagen, dass die MBTA die von ihnen entdeckten Schwachstellen nicht wirklich behoben hat und stattdessen offenbar auf ein völlig neues U-Bahn-Kartensystem wartet, das im Jahr 2025 eingeführt werden soll. Als WIRED sich an die MBTA wandte, meldete sich ihr Kommunikationsdirektor Joe Pesaturo antwortete in einer Erklärung: „Die MBTA war erfreut darüber, dass die Studenten Kontakt mit dem Fahrgeldeinzugsteam aufgenommen und mit ihm zusammengearbeitet haben.“

„Es ist zu beachten, dass die von den Studierenden identifizierte Schwachstelle KEINE unmittelbare Gefahr für die Sicherheit, Systemunterbrechung oder Datenschutzverletzung darstellt“, fügte Pesaturo hinzu. „Das Betrugserkennungsteam der MBTA hat die Überwachung verstärkt, um dieser Schwachstelle Rechnung zu tragen [und] erwartet keine wesentlichen finanziellen Auswirkungen auf die MBTA. Diese Schwachstelle wird nicht mehr bestehen, sobald das neue Fahrgeldsystem in Betrieb geht, da es sich um ein kontenbasiertes System im Gegensatz zum heutigen kartenbasierten System handelt.“

Angela Wasserschneider

Julian Chokkattu

Lexi Pandell

Will Knight

Die Highschool-Schüler sagen, dass sie, als sie 2021 mit ihrer Forschung begannen, lediglich versuchten, die CharlieTicket-Hacking-Forschung des Teams aus dem Jahr 2008 zu reproduzieren. Doch als die MBTA diese Magnetstreifenkarten nur wenige Monate später aus dem Verkehr zog, wollten sie das Innenleben der CharlieCards verstehen. Nach monatelangem Ausprobieren mit verschiedenen RFID-Lesegeräten gelang es ihnen schließlich, den Dateninhalt auf den Karten abzuspeichern und mit der Entschlüsselung zu beginnen.

Im Gegensatz zu Kredit- oder Debitkarten, deren Guthaben in externen Datenbanken und nicht auf den Karten selbst erfasst werden, speichern CharlieCards tatsächlich etwa ein Kilobyte an Daten in ihrem eigenen Speicher, einschließlich ihres Geldwerts. Um zu verhindern, dass sich dieser Wert ändert, enthält jede Datenzeile im Speicher der Karten eine „Prüfsumme“, eine Zeichenfolge, die mithilfe des nicht offengelegten Algorithmus der MBTA aus dem Wert berechnet wird.

Durch den Vergleich identischer Speicherzeilen auf verschiedenen Karten und die Betrachtung ihrer Prüfsummenwerte begannen die Hacker herauszufinden, wie die Prüfsummenfunktion funktionierte. Sie waren schließlich in der Lage, Prüfsummen zu berechnen, die es ihnen ermöglichten, den Geldwert einer Karte zu ändern, sowie die Prüfsumme, die ein CharlieCard-Lesegerät dazu veranlassen würde, sie als gültig zu akzeptieren. Sie berechneten eine lange Liste von Prüfsummen für jeden Wert, sodass sie den Kontostand der Karte beliebig auf den von ihnen gewählten Betrag ändern konnten. Auf Wunsch der MBTA veröffentlichen sie weder diese Tabelle noch die Einzelheiten ihrer Prüfsummen-Reverse-Engineering-Arbeit.

Nicht lange nach diesem Durchbruch, im Dezember letzten Jahres, lasen die Teenager im Boston Globe von einem anderen Hacker, einem MIT-Absolventen und Penetrationstester namens Bobby Rauch, der herausgefunden hatte, wie man CharlieCards mit einem Android-Telefon oder einem Flipper klont Kein tragbares Radio-Hacking-Gerät. Mit dieser Technik könne er laut Rauch einfach eine CharlieCard kopieren, bevor er den Wert ausgibt, und so praktisch unbegrenzte Freifahrten erhalten. Als er der MBTA die Technik vorführte, behauptete sie jedoch, sie könne die geklonten Karten erkennen, wenn sie verwendet würden, und sie deaktivieren.

Angela Wasserschneider

Julian Chokkattu

Lexi Pandell

Will Knight

Anfang des Jahres zeigten die vier Teenager Rauch ihre Techniken, die über das Klonen hinausgingen und detailliertere Änderungen an den Daten einer Karte umfassten. Der ältere Hacker war beeindruckt und bot an, ihnen zu helfen, ihre Erkenntnisse dem MBTA zu melden – ohne dass sie verklagt würden.

In Zusammenarbeit mit Rauch hatte die MBTA ein Programm zur Offenlegung von Schwachstellen entwickelt, um mit befreundeten Hackern zusammenzuarbeiten, die sich bereit erklärten, gefundene Cybersicherheitslücken weiterzugeben. Die Teenager sagten, sie seien zu einem Treffen im MBTA eingeladen worden, an dem nicht weniger als zwölf Führungskräfte der Agentur teilnahmen, die allesamt dankbar für ihre Bereitschaft schienen, ihre Erkenntnisse mitzuteilen. Die MBTA-Beamten forderten die Highschool-Schüler auf, ihre Ergebnisse 90 Tage lang nicht preiszugeben und die Einzelheiten ihrer Prüfsummen-Hacking-Techniken vertraulich zu behandeln, stimmten jedoch ansonsten zu, dass sie sich nicht in die Präsentation ihrer Ergebnisse einmischen würden. Die vier Teenager sagten, dass sie die Zusammenarbeit mit dem Chief Information Security Officer der MBTA, Scott Margolis, als besonders angenehm empfanden. „Fantastischer Kerl“, sagt Bertocchi.

Die Teenager sagen, dass die Verkehrsbehörde wie bei Rauchs Klontechnik offenbar versucht, ihrer Technik entgegenzuwirken, indem sie veränderte Karten erkennt und sperrt. Aber sie sagen, dass nur ein kleiner Bruchteil der Karten, die sie hinzugefügt haben, erwischt wurde. „Die Abhilfemaßnahmen, die sie haben, sind kein wirklicher Patch, der die Schwachstelle schließt. Stattdessen spielen sie mit den Karten herum, sobald sie auftauchen“, sagt Campbell.

„Einige unserer Karten wurden deaktiviert, aber die meisten kommen durch“, fügt Harris hinzu.

Nutzen also alle vier ihre CharlieCard-Hacking-Technik, um kostenlos durch das Bostoner U-Bahn-System zu fahren? "Kein Kommentar."

Im Moment ist das Hackerteam einfach froh, seinen Vortrag ohne die harte Zensur halten zu können, die die MBTA vor 15 Jahren mit ihrer Klage versuchte. Harris argumentiert, dass die MBTA wahrscheinlich ihre Lektion aus diesem Ansatz gelernt hat, der nur die Aufmerksamkeit auf die Erkenntnisse der Hacker gelenkt hat. „Es ist großartig, dass sie das jetzt nicht tun – dass sie sich nicht selbst ins Bein schießen. Und es ist für alle viel weniger stressig“, sagt Harris.

Andererseits ist er auch froh, dass die MBTA bei der Rede von 2008 eine so harte Linie verfolgte, dass sie seine Aufmerksamkeit erregte und die Forschung der Gruppe fast anderthalb Jahrzehnte später ankurbelte. „Wenn sie das nicht getan hätten“, sagt Harris, „wären wir nicht hier.“

Update 17:00 Uhr ET, 10. August 2023: Eine Erklärung eines MBTA-Sprechers wurde hinzugefügt. Update 11:25 Uhr, 11. August 2023: Es wurde geklärt, wann das Treffen der Teenager mit der MBTA stattfand.