Londens vervoersbedrijf vraagt wachtwoorden van reizigers
Het Londense vervoersbedrijf TfL vraagt reizigers die via een loket korting aan hun chipkaart willen toevoegen om het wachtwoord van hun account op te schrijven. Opgeschreven wachtwoorden zouden echter niet door medewerkers worden opgeslagen, zo laat Transport for London (TfL) aan The Register weten. De website werd door een verbouwereerde reiziger over de werkwijze ingelicht.
Reizigers kunnen via machines op de verschillende stations kortingen aan hun Oystercard toevoegen, de Britse tegenhanger van de OV-chipkaart. Het is ook mogelijk om dit via medewerkers van het vervoersbedrijf te regelen. In dit geval moet de reiziger een formulier invullen dat ook om het wachtwoord van het Oyster-account vraagt.
"Het wachtwoord wordt altijd ingevoerd in de aanwezigheid van de klant en het formulier wordt teruggegeven zodat het veilig kan worden opgeruimd. Klanten krijgen het advies om hun wachtwoord tijdens de eerste login aan te passen als ze een online Oyster-account aanmaken", aldus een woordvoerster. Ze merkt op dat het proces kan worden verbeterd en Transport for London naar mogelijke opties kijkt. TfL heeft het beheer van de London Overground-diensten uitbesteed aan Arriva Rail London, vandaar dat deze naam op het formulier staat.
Die zijn er nog steeds, en dat blijft zo.
Het is een interessante situatie hier als je de techniek een beetje volgt. Om een mutatie aan een account te doen (in dit geval een kortingsproduct), moet je lees- en (al dan niet gedeeltelijke) schrijfrechten hebben. Dat kan je oplossen door die rechten aan de diverse baliemedewerkers te geven, door tijdelijke rechten toe te kennen voor een bepaalde actie, of door als de gebruiker zelf in te loggen. Blijkbaar ziet TFL af van de eerste en tweede optie.
Er zijn zeker nog verbeteringen mogelijk, bijvoorbeeld door de gebruiker zelf aan te laten loggen en in diens bijzijn de korting op de kaart te zetten.
Overigens, saillant detail, het is dus in Oyster wel mogelijk om korting op een anonieme kaart te zetten, in tegenstelling tot de OV-Chipkaart. Een van de vele features die het Londense systeem wel en het Nederlandse niet heeft...
Ik vind dit een interessante manier van met de beste bedoelingen dienst willen verlenen, ook al schort er nog steeds het een en ander aan het idee waarop. Oftewel, hier hebben ze toch even net iets niet begrepen.
Wat mij betreft moeten ze nog wel even meer hun best doen willen ze zich serieus tot het niveau van TLS verlagen. Die heb ik nog nooit op het serieus overwegen van het idee van 'dienstverlening' weten te betrappen, bijvoorbeeld.
Ze hebben zich waarschijnlijk niet gerealiseerd dat die klant dat vervolgens gewoon in de lokale prullenbak gooit. Een betere oplossing zou zijn om achter de balie een shredder te hebben staan, waar het formulier in gaat.
Peter
Ze hebben zich waarschijnlijk niet gerealiseerd dat die klant dat vervolgens gewoon in de lokale prullenbak gooit. Een betere oplossing zou zijn om achter de balie een shredder te hebben staan, waar het formulier in gaat.
Peter
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
