כמה UX מעוצב בצורה גרועה במבחן נגיף הקורונה כמעט הכניס אותנו לבידוד עצמי, אבל חור אבטחה הציל אותנו

זה אני, כותב תסריט למנות פרמטרים לבקשת POST ל-gov.tr, יושב מול הגבול לקרואטיה.

איך הכל התחיל

אשתי ואני מטיילים בעולם ועובדים מרחוק. עברנו לאחרונה מטורקיה לקרואטיה (הנקודה הטובה ביותר לבקר באירופה). כדי לא להיכנס להסגר בקרואטיה, אתה צריך לקבל אישור על בדיקת קוביד שלילית לא יאוחר מ-48 שעות לפני הכניסה.

גילינו שזה משתלם יחסית (2500 רובל) ובמהירות (כל התוצאות מגיעות תוך 5 שעות) לעשות מבחן בשדה התעופה באיסטנבול, שממנו בדיוק טסנו.

הגענו לשדה התעופה 7 שעות לפני ההמראה, מצאנו נקודת בדיקה. הם עושים הכל בצורה כאוטי: אתה עולה, נותן דרכון, משלם, מקבל 2 מדבקות עם ברקוד, הולך למעבדה הניידת, שם לוקחים ממך את אחת המדבקות האלה כדי לזהות את הניתוח שלך. אחרי שאתה עוזב, והם אומרים לך: לך לאתר הזה: enabiz.gov.tr/PcrTestSonuc, סעו את הברקוד שלכם ואת 4 הספרות האחרונות של הדרכון שלכם, לאחר זמן מה תהיה תוצאה.

אבל אם אתה מזין נתונים מיד לאחר העברת הניתוח, הדף נותן שגיאה.

כבר אז התגנבו לראשי מחשבות על ה-UX ה"יפה", שבו, עם כל טעות של המפעיל שנהג בנתוני הדרכון, אין דרך לגלות את התוצאה שלך.

לפני המראה

שעת היציאה מגיעה, אני מזין את הנתונים שלי ורואה שהמסמכים עבורם כבר שם, למרות שעדיין אין תוצאת בדיקה.

אפילו ברור שהבדיקות הגיעו למעבדה לפני 1.5 שעות. אבל הזנת הנתונים של אשתי עדיין נותנת שגיאה שהערך לא נמצא. והכי חשוב, לא תוכל פשוט ללכת ולשאול מה לא בסדר, כי. עברנו את המבחן באזור לפני ביקורת הדרכונים.

כשעלינו לטיסה ביקשו מאיתנו תוצאות בדיקה, אך למרבה המזל הצלחנו לשכנע את נציג שדה התעופה שהם יופיעו בקרוב (הראו להם את הברקודים), וכמוצא אחרון ניכנס להסגר.

ברגע שעליתי למטוס, הקוד שלי הראה שיש לי בדיקה שלילית.

עם הגעה

וכאן מתחיל הכיף! ברגע שטסנו והתחברנו ל-WiFi המקומי, התברר שהתיעוד של אשתי לא נמצא במאגר. ובגבול עצמו, ניגשו למסמכים בזהירות רבה: משמר הגבול ערך בדיקת קורונה ולקח אותו לחדר נפרד כדי לבדוק את המציאות שלו. החלטנו שנספר את סיפור האמון שלנו כפי שהוא ונברר אילו אפשרויות עומדות בפנינו.

בזמן שעמדנו בתור, החלטתי לבדוק אם יש נתונים נכונים (שלי) ושגויים, איך מגיב דף האימות.

התברר שהיא שולחת בקשה לפוסט www.enabiz.gov.tr/PcrTestSonuc/GetPcrRaporVerifyWithKimlik, עם הפרמטרים הבאים:

barcodeNo=XX
kimlikNo=YY
kimlikTipi=2
איפה ברקוד מס' - מספר ברקוד, kimlikNo - מספר דרכון, קימליק טיפי – פרמטר קבוע שווה ל-2 (אם רק שני השדות הראשונים ממולאים). לא נראו אסימונים. הבקשה החזירה 1 עבור הפרמטרים הנכונים (הנתונים שלי), ו-0 עבור השגויים.

מהדוור ניסיתי למיין 40 צירופים (פתאום טעות של דמות אחת), אבל לא יצא מזה כלום.

באותו רגע ניגשנו למשמר הגבול, הוא הקשיב לסיפור שלנו והציע להסגר. אבל ברור שלא רצינו לשבת בדירה 14 יום, אז ביקשנו להמתין קצת באזור המעבר כדי לנסות לפתור את הבעיה בעוד כמה שעות. משמר הגבול נכנס לעמדה שלנו, הלך לראות אם נוכל לשבת באזור הלבן, ובהסכמת הראש אמר: "בסדר, רק כמה שעות".

התחלתי לחפש את הטלפונים של אלה שעשו את מבחן הכתר, ובמקביל החלטתי לבדוק השערה מטורפת: אם למערכת הזו יש UX כל כך נורא, אז מערכת האבטחה לא צריכה להיות טובה, למרות שה-gov.tr​ תְחוּם.

כתוצאה מכך, בזמן שישבתי בשיחות, כתבתי תסריט קטן שמיין את כל המספרים מ-0000 עד 9999 בשדה kimlikNo. barkodNo היה לנו על מדבקה, אז זה לא יכול להיות שגוי.

תארו לעצמכם את ההפתעה שלי כשגם אחרי 500 בקשות רצופות לא נאסרתי והתסריט המשיך לפעול ב-20 בקשות לשנייה משדה התעופה WiFi.

שיחות לא הניבו הצלחה רבה: הופניתי ממחלקה אחת לאחרת. אבל מהר מאוד התסריט נתן את הערך הנכסף 6505, שכלל לא היה כמו 4 הספרות האמיתיות של הדרכון.

לאחר העלאת המסמך, התברר שזה בבירור לא הדרכון של אשתי (לזרים לרוסים אין אפילו מספרים כאלה), אבל כל שאר הנתונים (כולל שם פרטי, שם משפחה ותאריך לידה) נכונים.

הדבר המעניין ביותר הוא שגם הברקודים אינם אקראיים, אלא הולכים כמעט אחד אחד. כך, בתיאוריה, יכולתי למצוא אנשי קשר שקיבלו את מספר הדרכון של אשתי, ובאופן כללי, לשאוב בצורה חלקה את הנתונים הפרטיים של אנשים אחרים.

אבל זה היה 9 בבוקר ולילה בלי שינה, איחרתי לפגישה מקוונת ושמחתי שהם נתנו לנו לעבור בלי הסגר, אז רק התחלתי את המסע שלי ברחבי אירופה.

מקור: www.habr.com