Pochi giorni fa uno studente del Politecnico di Milano ha reso pubbliche alcune vulnerabilità che ha scoperto nella app usata dai trasporti pubblici di Milano ( ATM , Azienda Trasporti Milanesi da non confondere con Automatic Teller Machine, cioè i bancomat). Queste vulnerabilità rendevano possibile l'uso (fraudolento) di biglietti di altri utenti. Conoscendo l'indirizzo email con il quale un utente si era registrato nella app ATM, era cioè possibile usare i biglietti acquistati da quell'utente. In estrema sintesi, la app conteneva una password unica per tutte le installazioni, cablata nel codice della app; tale password veniva usata per autenticare le richieste inviare al server (e garantirne l'integrità); non c'era però nessun meccanismo per autenticare l'utente della app. Di conseguenza, se un utente "Pippo" inviava una richiesta in cui affermava di essere l'utente "Pluto", il server non aveva modo di autenticare l'utente, quindi i