德国研究机构：机票预订系统安全系数极低，旅客信息极易被盗

近期，西方有网络安全研究机构警告称，大型旅游订票系统缺乏合适的方式来认证航空旅客，这会让登机牌上的短代码更容易被黑，从而导致航班信息被篡改或旅客敏感个人信息被盗。

路透社12月27日报道称，位于柏林的安全研究实验室（Security Research Labs）发现，作为个人身份识别码的六位数代码往往被用来作为个人出行信息的存储编码，它们虽然各不相同，但它们的安全系数极低，甚至低于用户自己设定的简单用户名和密码组合。

世界上最大的三个全球机票分销系统（GDS）——Amadeus, Sabre和Travelport，掌握大部分的出行预订业务，但在近年来越来越多地感受到来自航空公司、订票企业和订票网站的压力。

实验室研究员表示：“当人们在网络上争论使用哪些要素进行第二、第三步验证时，全球分销系统连第一步认证都没有。”多要素验证的原理是，用户提供不同的证据来验证他们的身份，如密码、验证码或安全问题、或绑定银行卡、手机等。

在无需多要素验证的情况下，研究人员能够在掌握一名旅客姓氏的前提下，就使用计算机在几小时内猜测出相关联的订票号，从而取得旅客出行信息。

旅客姓名记录（PNR）通常被用来储存预约信息，这些信息一般关联着旅客的姓名、出行时间、行程、出票信息、电话和邮箱联系方式、旅行社、信用卡号、座位号和行李信息等。

但旅客永远无法知晓谁获取过他们的信息，因为旅客姓名记录数据不产生登录记录，研究员们解释，用户无法自己来保护这些代码，因为这种权限是由航空公司通过订票系统来分配的。

研究员们呼吁航空公司采用现代的安全保护措施来抵御这种潜在的攻击行为，比如它们可以限制每个网络地址请求获取旅客姓名记录的次数，并向旅客提供可更改的密码，作为最低层次的保护。

安全研究实验室研究员Karsten Nohl表示，三大全球分销系统中的Amadeus和Travelport还会按照顺序来编排订票的号码，这就让计算机的猜测工作更简单。通过其网站入口Check MyTrip进行订票的Amadeus系统尤其脆弱。

澎湃新闻记者查询资料发现，Sabre和Travelport目前在中国业务相对较少，但Amadeus在中国的业务范围比较广。Amadeus目前与中国市场几乎所有主要旅游企业都有合作关系，包括为携程、去哪儿、阿里旗下的飞猪（之前为阿里旅行）等提供搜索技术和产品内容，针对国航、南航、厦门航空、四川航空和首都航空等航空公司的官网及电商平台提供技术支持。

在2012年前，中国民航信息网络股份有限公司（简称中航信）是国内唯一的全球机票分销系统提供商。从2011年开始，民航局才与国内外航空公司、海外GDS和中航信一同商讨机票分销系统政策的修改，并于2012年年中出台了《外国航空运输企业在中国境内指定的销售代理直接进入和使用外国计算机订座系统审批管理暂行规定》（即计算机订座新规定），开始允许中国大陆的旅行社、机票代理使用海外机票分销系统。

2014年，使用Amadeus系统的旅行社和销售代理于获得了中国民用航空局颁发的销售许可证，标志着其针对中国分销市场的业务正式获批。

针对安全研究实验室的报告，Amadeus公司发言人表示：“Amadeus正在评估安全研究实验室针对旅游行业安全的发现。我们将认真考虑这些研究发现，并与我们的行业合作伙伴一起努力，解决这里暴露的问题，并为潜在的问题寻找解决方案。”

但该发言人也表示：“当然，Amadeus对于我们的系统也是进行保护的，谨防出现报告中所说的自动的机械式攻击。”

在2015年电脑系统遭受过黑客攻击的Sabre方面表示：“我们有多层安全保护措施。但谈论我们如何保障旅客的安全和隐私，可能会威胁这些保护措施及我们系统的安全性。”