Jak (si) ukrást balíček

15.8.2012 00:16 | Přečteno: 1904× | Stížnosti a pochvaly | poslední úprava: 15.8.2012 00:19

Nedávno jsem si objednal nějaké zboží v Německu a myslel jsem, že přijde normálně poštou a buď se podaří balíček doručit domů nebo si ho vyzvednu na poště. Obchodník ho ale poslal přes nejmenovanou* třípísmenkovou přepravní společnost. Z Německa do ČR balíček dorazil ještě ten samý den. První pokus o doručení měl být o dva dny později, ale v průběhu toho zjistili, že se jim nelíbí adresa – na webové sledovací stránce napsali, že je potřeba upřesnit číslo domu a že příjemce dostane lístek s nějakým číslem** (na základě něj bych pak mohl jako adresát upravit údaje – nebo to mohl udělat rovnou odesílatel).

Psal jsem tedy obchodníkovi, že adresa, kterou jsem uvedl fakt platí včetně čísla domu a ať pošťouchnou dopravce. Nebo ať mu radši řeknou, ať mi to doručí do práce. To se obchodníkovi moc nechtělo, což docela chápu – e-mail nebyl elektronicky podepsaný a mohl ho zfalšovat kdokoli a nechat si poslat můj balíček na svoji adresu. Že prý leda po prvním neúspěšném pokusu o doručení.

Vyměnili jsme si pár mailů a k pokusu došlo, takže mi pak napsali, že adresu nechali změnit, ale ať přepravci radši ještě zavolám. Tak volám a ten o ničem nevěděl – už jsem z toho byl docela otrávený a připravoval se na další e-mailování s obchodníkem, ale přepravce byl velice ochotný a že prý můžeme změnu adresy zařídit takhle po telefonu. Tak jsem jim nadiktoval adresu do práce a druhý den měl balíček přijít.

Na sledovací www stránce se žádná změna neprojevila, až najednou večer zazvonil telefon – že je prý před barákem a ať mu jdu naproti. Vylezl jsem tedy na chodbu a tam potkal chlápka s krabicí a nějakým bazmekem, na který jsem mu měl udělat tužkou klikihák, jako že jsem to převzal – chlápek kouknul na displej, zkonstatoval, že „něco tam teda je“, dal mi balíček a odešel.

Čekal bych, že bude chtít vidět aspoň občanku se jménem a původní adresou, nebo lépe nějaké jednorázové heslo, které by mi důvěryhodným způsobem doručili. Ale to ne. Tak jednoduché to bylo – stačil jeden telefonát a znát číslo zásilky. To se dá zjistit všelijak – obchodník ho pošle nešifrovaným e-mailem a když se člověk dívá na web se sledováním stavu zásilky, data proudí po Síti opět nešifrovaně. Takže příležitost k ukradení balíčku měl kde kdo.

Možná spoléhají na to, že se tolik nekrade, že to nikoho nenapadne (security by obscurity), nebo že ztráty zaplatí pojišťovna případně oni sami s tím, že náklady rozloží do cen pro všechny… Možná by příjemce/odesílatel o svoje zboží/peníze nepřišel… Ale stejně je mi takový přístup proti srsti.

Šifrování e-mailů (PGP i S/MIME) i HTTPS jsem nedávno implementoval v rámci jednoho svého projektu. Nějakou práci to dalo, ale nic nepřekonatelného – zvlášť pokud by to nedělal jednotlivec jako já, ale měl na to zázemí velké korporace. Copak je to tak těžké? A i kdyby, vždycky je přece možné se vrátit k tak předpotopní věci, jako je kontrola*** nějakých průkazek. Věřím, že skloubit bezpečnost a přívětivost**** jde – jen se musí chtít.

P.S. Pokud by někoho zajímalo, co jsem kupoval – klávesnici.

*) tipuji, že jejich konkurenti na tom nebudou moc lépe, takže na názvu nesejde a nemám potřebu jim dělat negativní reklamu

**) což jsem nějak nepochopil – ve schránce nic nebylo, možná ho měli poslat poštou, ale to taky nedává moc smysl, když podle nich ta adresa neexistuje a neumí na ni doručit – tak to Česká pošta má umět?

***) což sice někomu nemusí být příjemné, ale v takovém případě si holt nebude měnit adresu a musí předem zadat tu správnou – pak po něm nikdo občanku chtít nebude

****) vzpomenout si na poslední chvíli a mít možnost si změnit adresu je fajn        

Komentáře

[Fluttershy, yay!]

Pošťačka taky dá u branky balík na správné adrese komukoliv. Počítá se s různým přebíráním sousedy nebo příbuznými. Zřejmě to funguje.

[multi]

taky jsem se tomu divil, pritom na poste ho nepredaji ani pribuznemu oproti obcance

[xkucf03]

Tohle je OK, protože pošta doručuje na adresu, kterou určil odesílatel. (a kdyby se měla kontrolovat konkrétní osoba, tak od toho je služba „do vlastních rukou“)

Jenže v případě popisovaném v blogu převzala balíček jakási anonymní osoba (shodou okolností já) na nějaké úplně jiné adrese, než kterou určil odesílatel – tuto adresu určila taky jakási anonymní osoba (náhodou taky já), která zavolala na infolinku přepravce a věděla číslo balíčku (které mohl zjistit kde kdo).

[becherekmg]

Upřímně řečeno, ono je každému přepravci houby do toho, jaký je vztah mezi odesílatelem a adresátem, takže je mu vlastně jedno, jakým způsobem přišel adresát k číslu zásilky. Prostě se předpokládá, že kdo ho zná, je buď odesílatel nebo adresát, protože to je jejich problém ohlídat si, aby se číslo zásilky nedostalo k někomu jinému. Kdyby se měl dopravce starat i o tohle, tak by zásilku nedoručil nikdy, protože těch rizik je ohromné množství a jakýkoliv doručovatel nemá nikdy jistotu, že dotyčná osoba je ta správná (s výjimkou případů, kdy ji osobně zná a ví, že nejde o schodu jmen). Ona totiž jakákoliv indentifikace jde obejít. Takže, prodle mého názoru, při jakákoliv nákupu předem, musíte počítat s tím, že o své peníze přijdete a nebudete mít žádnou protihodnotu. A myslím si, že je na Vás a ne na dopravci, toto riziko minimalizovat. Čili občanka při předání je spíše pojistka pro doručovatele, když při případné reklamaci bude dokazovat, komu zásilku doručil.

[Bystroushaak]

s výjimkou případů, kdy ji osobně zná a ví, že nejde o schodu jmen

A i tak ti ten balíček pořád může ukrást Fantomas :)

[Мiriam]

Dislike na youtube, haters gonna hate ;)

[Bystroushaak]

Příloha:

• 1315497665319.jpg (47747 bytů)

Myslíš to hodnocení, které je platné asi jako motlitba?

[xkucf03]

Ne tak docela – web na sledování stavu zásilky provozuje přepravce a funguje jim to jen po nešifrovaném HTTP – zkoušel jsem to i ručně přepsat na https://, ale to nefungovalo. Takže to číslo zásilky je k dispozici všem ISP a na všech možných proxy serverech…˙naprosto zbytečně.

Co se týče té kontroly občanky, tam bych uvítal následující možnosti (zvolím si já nebo obchodník při odesílání):

• zásilka nepůjde přesměrovat vůbec
• zásilka půjde přesměrovat, ale v takovém případě budou chtít vidět občanku se stejnou adresou, jako byla ta původní (nebo aspoň jménem)
• půjde to přesměrovat a občanka nebude potřeba, bude to fungovat jen na dobré slovo (současný stav)
• při přebírání balíčku se příjemce bude muset prokázat kódem/heslem, které dostal nějakým důvěrným způsobem od odesílatele

(poslední možnost je ideální případ)

[becherekmg]

Vezmu to odzadu.

Možná to bude vypadat jako jízlivost, ale mě by opravdu zajímalo, jak si technicky představujete důvěryhodný způsob získání kódu/hesla od odesílatale. Jak je již patrné z významu, je to vlastně založeno jenom na důvěře. Ale to už vyjde úplně stejně, jako když doručovatel důvěřuje tomu, že balík předává správnému adresátovi. Pravda, můžeme se bavit o míře důvěry, princip je však stejný - někdo něčemu důvěřuje, že to tak je, ale jistotu nemá. Pokud ale nějaký způsob existuje, budu rád, když mi ho prozradíte.

Co se týče občanky, tak to už jsem psal výše - více než o kontrolu skutečného adresáta jde spíše o formu "krytí" doručovatele, že zásilku předal podle údajů na nějakém oficiálním dokumentu, než že byla předána skutečnému adresátovi. Protože, když by o tu zásilku někdo stál, stačí aby občanku odcizil a prokázal se s ní sám...

No, a pokud jde o sledování zásilek, tak máte samozřejmě pravdu, že se je v takovém případě zapojen i dopravce a je skutečně třetí osobě umožněno získat kód zásilky jeho prostřednictvím. Pochopitelně, že v tomto případě by mělo být snahou provozovatele takovéto služby co nejvíce omezit možnost získání kódu (a že na to dopravci většinou dlabou je smutná pravda). Jenomže si myslím, že i zde platí, že je to hlavně věc odesílatele a adresáta. Ani jednu stranu nic nenutí zadávat kód na internet. To je pouze služba navíc, která fyzické doručení balíku nijak neovlivní.

Prostě si myslím, že když si někdo nechá poslat balík, musí důvěřovat odesílateli i dopravci. A občanka u předání na tom nic nezmění. Ta Vám jako adresátovi možná dává pocit serióznosti doručovatele, ale skutečnou bezpečnost to nezvýší (nikde není zaručeno, že člověk třímající v ruce doklad, na němž se shoduje jméno a adresa s údaji na balíku, je skutečný adresát).

[Franta]

Možná to bude vypadat jako jízlivost, ale mě by opravdu zajímalo, jak si technicky představujete důvěryhodný způsob získání kódu/hesla od odesílatale.

Kód/heslo si může vygenerovat/vymyslet zákazník a poslat ho ve zprávě pro přijemce při placení (bankovní převod, PayPal...). Přenáší se to stejným kanálem jako peníze a to by z principu mělo být důvěryhodné. Méně bezpečné, ale pořád lepší než nic: přenést kó přes HTTPS web obchodníka případně šifrovaným e-mailem.

Protože, když by o tu zásilku někdo stál, stačí aby občanku odcizil a prokázal se s ní sám...

Což je další překážka, kterou útočník musí překonat. A je to složitější, než odchytit pár paketů (třeba v nešifrované wifi síti). Navíc když už by mi kradl občanku, může mi rovnou vzít peníe z peněženky.

Pochopitelně, že v tomto případě by mělo být snahou provozovatele takovéto služby co nejvíce omezit možnost získání kódu (a že na to dopravci většinou dlabou je smutná pravda).

Přitom stačí tak málo -- SSL certifikát už mají, stačilo by překonfigurovat web server, aby i sledování zásilek chodilo přes HTTPS.

Ani jednu stranu nic nenutí zadávat kód na internet. To je pouze služba navíc, která fyzické doručení balíku nijak neovlivní.

Doručení neovlivní, převzetí ano -- je dobré vědět, kdy mám balíček očekávat a být připraven ho převzít.

Nikdo ho sice nenutí se na tu sledovací stránku dívat, ale dává mu odkaz na nešifrovanou stránku a přímo ho vybízí, aby se na ni díval. Je to asi jako kdyby někomu prodal pistoli, naučil ho, jak se s ní střelit do nohy, ale neřekl mu, jak se dá zbraň zajistit a jak se bezpečně čistí hlaveň.

Prostě si myslím, že když si někdo nechá poslat balík, musí důvěřovat odesílateli i dopravci.

Ano, rád bych, kdyby tu byl přepravce, kterému můžu důvěřovat a který se stará, aby zásilky nešlo jen tak krást.

[pasmen]

Z tohohle bych měl strach jen v případě, že bych platil předem (kartou, převodem, ...) Proto takovou hloupost nedělám a vždy hezky platba při doručení. Pokud balík bude chtít někdo vyfouknout, pak musí zaplatit. Což pravděpodobně udělá jen pokud bude přesně vědět co v něm je. A to se dá celkem ohlídat...

[Franta]

Z tohohle bych měl strach jen v případě, že bych platil předem

Což byl přesně můj případ -- ono ne vždy máš možnost dobírky, u zahraničních obchodů leda výjimečně.

[Fluttershy, yay!]

Ale velmi často se platí clo/daň jak dobírka.

[otula]

No, ze zahraničí si objednávám věci relativně dost často (zrovna teď čekám na balík s trekovými holemi z Anglie a na publikaci z antikvariátu z Rakouska), ale ještě se mi nestalo, že bych narazil na možnost koupě na dobírku.

[pasmen]

Je fakt, že já ze zahraničí kupoval akorát kdysi nějaké knihy z Amazonu a SAP PRESSu. Tam naštěstí ta možnost existovala.

[Rezza]

U Amazonu neni zadny problem. Staci jim dat vedet, ze balicek nedosel a okamzite resi.

[Käyttäjä 11133]

Z tohohle bych měl strach jen v případě, že bych platil předem (kartou

Chargeback, chargeback... :)

[psholty2]

Klavesnica na obrazku ma nespravny enter. Do popolnice s nou!

[Popolnica]

+1

[hw]

Klávesnice na obrázku má jediný správný enter! Taková klávesnice má pak také správný levý shift a backspace. Jediná chyba je, že si autor nepořídil Filco;)

[Franta]

Na výběr byla ještě anglická (místo americké), jenže tam je zmršený jeden shift. Velký enter by byl sice fajn, ale za rozházení ostatních kláves to nestojí.

[Tomáš]

Je to správně.

Kdyby před tebe dali 2 (ne úplně) stejné klávesnice a o jedné ti řekli, že je z USA, ktery by sis vzal? Tak asi tak. (Pokud se nemýlím, tak rovný Enter je na amerických klávesnicích, dvouřádkový na evropských.)

[Fluttershy, yay!]

Ne tak docela.

Jednořádkový Enter je podle standardu ANSI, dvouřádkový úzký podle standardu ISO, dále se dvouřádkový používá na asijských (japonských) klávesnicích. Kapitola sama pro sebe je asijský big-ass Enter.

[=^..^= AmigaPower®]

+1, to neni enter, to je entříček...

[Franta]

Velký enter potřebuje leda socialistická sekretářka, která bouchá jeden formulář za druhým.

BTW: zkoušel jsem prohodit Z a Y, ale nešlo to, klávesy mají bohužel trochu jiný sklon.

[Fluttershy, yay!]

Prdlajs. Potřebuje ho akorát ožralý Amíga, když se nemůže trefit.

U člověka píšícího všemi deseti můžeme diskutovat, zda je výhodnější mít blíž zpětné lomítko (ISO), nebo Enter (ANSI). Ale pro big-ass enter neexistuje v takových podmínkách snad žádný argument, ba naopak – big-ass Enter má obvykle konstrukční potíže se stabilizátory.

[=^..^= AmigaPower®]

Ty budeš mít asi brzo konstrukční problém se mnou.

Enter mam vybouchanej hlavně v horní části (od prsterníčku), zatimco v dolní (od malíčku) jen minimálně, do středu mlátim (ukazováčkem spolu s prostředníčkem) když mně někdo nasere jako teď...

[Fluttershy, yay!]

Kdybys neměl big-ass Enter, neměl bys ho vybouchaný. On teda ISO s tím svým zubem taky není velká výhra, ale furt je to lepší než tahle hrůza.

[=^..^= AmigaPower®]

Nevim co sis představil pod pojmem "vybouchanej", ale jde mi čistě o místo úhozu, klávesnice vybírám zásadně podle toho jestli maj velkej enter a s entrem jako takovim sem na nich nikdy neměl problém, tušim, že mi jednou spíš na nějaký odešla půlka mezerníku. Problém je, že se jich za cenu lehce přes kilo moc neprodává...

[Fluttershy, yay!]

ale jde mi čistě o místo úhozu

To je problém toho, že používáš nekvalitní šmejďárny z ABS.

Ono se jich obecně moc neprodává — mimo několik tchajwanských výrobců. Ale kdybys chtěl, mohl bych tě zásobit hezkým balíkem takových klávesnic.

[=^..^= AmigaPower®]

Teď sem to moc nepochopil, asi mi klesla hladinka pod úroveň použitelnosti...

Co má místo dopadu prstu společnýho se šmejďárnou anti block systému? Mam teď Genius GK-070006/U asi za 160,- z nějakýho předraženýho elektra v DBK, super Enter, zdvih co mam rád (s pořádnou odezvou), jen ten blok kláves se šipkama je na píču, byl to holt kompromis a na ten Print Screen a Delete sem si už tak nějak zvyknul, na ntb Print Sreen taky musim hledat a Delete tam snad ani neni...

[Fluttershy, yay!]

STFW

Asi netušíš, co je pořádná odezva. ~,^

[SPM]

Leda tak, když člověk potřebuje budit sousedy... :)

[Fluttershy, yay!]

Nebydlím v králíkárně.

Krom toho zvuk je jen část té odezvy.

[=^..^= AmigaPower®]

Nebreč, kravín taky dobrej...

[=^..^= AmigaPower®]

Socialistickou sekretářku poznáš podle QWERTZ nikoliv Enteru, protože většinou nedatlí HTML kde po napsání 4 znaků plácneš někam napravo, kde vždycky trefíš tu velkou věc...

[kotyz]

Kotyz je socialistická sekretářka a neumí psát všema deseti bez koukání na klávesnici...

[=^..^= AmigaPower®]

neumí psát všema deseti

Ty si výjimka, ty si lenochod tříprstý

[kralyk z abclinuxu]

Asi jsem socialistická sekretářka...

A nikdo mi nikdy nevěří, že na levné klávesnici s českým qwertz a malým enterem se dá pohodlně programovat

[=^..^= AmigaPower®]

Každýmu Enter dle jeho penisu...

[Franta]

Nevím, jestli je dobré mít stejně dlouhý, jako široký. To už ten úzký Enter má lepší proporce.

[=^..^= AmigaPower®]

Frantíku, tobě bych doporučoval klávesnici od Microsoftu...

[kralyk z abclinuxu]

Každýmu Enter dle jeho penisu...

Aby to nebylo naopak, jako s autama: velký enter kompenzuje cosi malého

[=^..^= AmigaPower®]

mel sem malinky kompaktni mitsubishi colt c51 rv. 88

[Petr_N]

Velkej enter = malý péro?

[=^..^= AmigaPower®]

To bys musel mít enter přes celou klávesnici...

[jnd]

Já si občas nechám poslat něco do práce a tam všechny zásilky přebírá a podepisuje skladnice, teprve až pak mi zavolá, že to přišlo. Je to asi běžný, ale stejně je sranda, že to může ve firmě podepsat úplně jiná osoba (která se nakonec objeví i ve sledování zásilky), než je uvedena na balíku a nikdo nic neřekne :)

[xxx]

Imho je to tak proto, ze krast baliky takovyhle zpusobem moc ve velkem nejde. Nejdrive potrebujete zdroj cisel, coz mozna nebude takovy problem. Hlavni problem spociva ve fake adresach, kde balicek prevezmete. Tak fajn je to s jednim balickem, vyhlidnete si barak, v nem firmu, pridate svuj telfon, a den tam pockate. No ted takhlen zkuste ukradnout tech balicku deset. Nebo se tim pravidelne zivit.

Po trech dnech uz asi zacnou nekomu balicky chybet. Docasna adresa se uz asi dostane na blacklist, stejne jako telefon. Takze pojdete svych 30 balicku a doufate, ze v nich bude neco co rychle zpenezite, a zacnete znova s novym telefon na nove adrese.

Ponekud narocny zpusob obzivy.

Takze imho jde o to, ze ziskat info o konkretnim baliku neni az tak jednoduche. (Spis soc. inzenyrstvi na nejaky obchod by fungovalo.) A krast nahodne baliky asi nebude velke terno.

[xkucf03]

Ze svého okolí vím minimálně o jednom, kdo takhle (přesměrováním) o balíček přišel. Ono když se ti to stane, tak je ti celkem jedno, jestli to pro toho zloděje byla obživa nebo jednorázová záležitost, škodolibost, hackování reálného světa… takových příležitostí jsou spousty, jen jich moc lidí nevyužívá a všichni to dělají tak, jak je obvyklé, jak se očekává.

[otula]

Nákupy přes internet mám vybavenou až na výjimky celou domácnost, všechno zboží navíc hledám i za hranicemi, protože mnozí naši obchodníci jsou natolik nenažraní, že i s drahým poštovným vyjde cena zpoza hranic často o třetinu nižší, ale že by mne okradnul nějaký soused, jsem nikdy neřešil, ani se mi to nestalo.

Jediný, kdo mne kdy okradnul, byl přímo doručovatel od nejmenované přepravní společnosti, který mi pomohl nahoru s myčkou (za 100korunovou úplatu), nechal si tam podepsat doručení a seběhl dolů. Já jsem v rychlosti obmrknul myčku, jestli není viditelně poškozená, a on zatím odjel i s druhým balíkem ze dvou. Zavolal jsem mu, že mi odjel s balíčkem - prý už se nemůže vrátit, ale hodí mi ho některý další den. Už jsem ho v životě neviděl, balíček byl v hodnotě cca 400 korun (velké balení tablet od Somatu, které jsem k nové myčce rovnou přiobjednal za zvýhodněnou cenu). Jo, poučil jsem se, nelze důvěřovat přepravcům (mám ještě jinou zkušenost, kdy jsem měl štěstí, že jsem si vyžádal od přepravce potvrzení o zaplacení, protože mi o měsíc později volal prodejce, že mu dlužím peníze - a to potvrzení bylo jediným důkazem, že ty peníze ode mne řidič převzal...)

[Bedňa]

Ja som čakal apt-get steal package

[=^..^= AmigaPower®]

No, čekal sem taky něco v tom stylu

[Bedňa]

Teba tiež od termínálu človek neodtrhne

[gtz]

no mě když přišlo Raspberry od Farnellu tak mi to dovezl borec do práce a nechtěl po mně taky občanku. Podepsal jsem se mu na to jeho elektronické PDAčko a bylo to.

[Käyttäjä 11133]

AFAIK po tobě ani občanku nemůžou chtít.

[gtz]

Občanku mohou chtít pouze orgány, já vím

[SPM]

PPLák ji jednou u mě u nějakého dražšího balíčku placeného předem chtěl. Nevím jestli to neni nějaká option při podávání... :)

[Käyttäjä 11133]

Jakékoli obchodní, či přepravní podmínky nejsou nad zákonem...

[Fluttershy, yay!]

Taky má možnost ti ten balík nedat, že…

[Käyttäjä 11133]

No však ať mi ho nedá, on dostane zjeba od svého šéfa, a další den příjde někdo jiný, kdo bude víc spolupracovat :D

[SPM]

Pokud tohle nabízej při podání jako option, tak zjeba od šéfa asi jen tak nedostane :) Ono, nevím kdy si naposled byl v ČR, ale představa, že by pracovník jakékoliv 3 písmenné přepravní společnosti dostal zjeba od šéfa je dosti naivní

[Käyttäjä 11133]

No tak vzhledem k tomu že znám pár lidí kteří pracují pro dvě třipísmené přepravní společnosti (dceru i matku) jako doručovatelé tak právě naopak vím, že když se balíky nedoručí ať to stojí co to stojí, tak že je problém...

[SPM]

Počítaj se do toho balíky i prokopnuté a s dalším šetrným zacházením? :D

[xkucf03]

což jsem nějak nepochopil – ve schránce nic nebylo, možná ho měli poslat poštou, ale to taky nedává moc smysl, když podle nich ta adresa neexistuje a neumí na ni doručit – tak to Česká pošta má umět?

Tak skutečně to bylo takto vtipné – ve schránce přistál lístek, který ve své podstatě říkal: neumíme doručit vaší zásilku – neumíme přečíst adresu – tak na ni posíláme pomocí České pošty tento lístek, abyste věděl, kde si máte zásilku vyzvednout* (a přineste si doklad** s fotkou)

*) na poště je fajn, že to tam člověk má pár kroků – tohle by bylo hodně z ruky

**) aspoň že tak – když si člověk přijde sám, tak to ošetřené mají, ale když doručují oni na nějakou adresu (byť ji mohl nadiktovat zloděj a ne adresát), tak už nic nekontrolují a to považuji za bezpečnostní díru