reklama

Registrace na Seznamu trpěla bezpečnostní chybou (aktualizováno)

Aktualizováno: Tisková mluvčí Seznamu Irena Zatloukalová mi potvrdila, že programátoři bezpečnostní díru dnes ráno opravili. Registrace by tedy nyní měla být už bezpečná. 


Registrační stránka Seznamu obsahuje potenciální bezpečnostní chybu. Pokud vše vyplníte a klepnete na tlačítko Založit účet, formulář se správně odešle pomocí šifrovaného spojení. Jenže to má háček, kterého si všiml Michal Špaček a pochlubil se na Twitteru.

Data z formuláře se sice odesílají šifrovaně, ale při vyplňování hesla se zjišťuje, jestli je dostatečně silné. Tedy jestli je dostatečně dlouhé a obsahuje nějaké složitější znaky. Problém spočívá v tom, že tato kontrola neprobíhá přímo v prohlížeči, ale heslo se na pozadí přes ajax odesílá na server Seznamu v běžném GET dotazu společně s přihlašovacím jménem a v nešifrované podobě!

Klepněte pro větší obrázek Klepněte pro větší obrázek
Formulář se sice odešle pomocí šifrovaného SSL spojení, ale kontrola síly hesla probíhá na serveru, přičemž komunikace s ním je nešifrovaná

Bezpečnostní díru snadno ověříte v libovolném softwaru na zachytávání paketů v síti, nebo přímo v prohlížeči ve vývojářských nástrojích, které také vypisují HTTP komunikaci. Já jsem zvyklý na klasický Wireshark a na obrázku výše je patrné, jak to dopadlo. Zachytil jsem HTTP GET požadavek Javascriptu, který posílá ke kontrole heslo a přihlašovací jméno na server Seznamu v nešifrované podobě, takže jej může útočník v síti snadno odposlouchávat. Stejně jako jsem odposlouchával sám sebe.

O jak závažnou chybu se jedná? To je opravdu relativní – jedná se spíše o šrám na dobrém renomé Seznamu. Chyba se týká jen registrační stránky, takže k přenosu nešifrovaného hesla dojde u jednotlivce v ideálním případě jen jednou při registraci.

Relativizujícím prvkem je nakonec i prostá empirie. SSL v minulosti nebylo tak rozšířené a samozřejmé jako dnes, a přesto nedocházelo k masivním krádežím hesel a loginů. Ostatně většina menších webů nepoužívá SSL k přenášení hesel ani dnes, takže případný záškodník třeba ve firemních sítích by jich nasbíral docela dost tak jako tak. Ale to samozřejmě není omluva.

Firma velikosti Seznamu by se měla podobných bot opravdu vyvarovat. Přeci jen to není ledajaký blogísek z Horní Dolní.

Témata článku: Web, Seznam.cz, Bezpečnost, Ajax

29 komentářů

Nejnovější komentáře

  • Ruda.M 9. 12. 2013 16:55:51
    Kazdy uzivatel ktery se prihlasi na uvodni strance Seznamu, posila heslo v...
  • co to tu koupil 3. 12. 2013 18:01:13
    Když nezvládli vrátit vypnutí spamového filtru uživatelem, tak co od...
  • TrueStory 3. 12. 2013 14:45:47
    Kdo používá Seznam, dělám, že ho neznám! Internet je CELOSVĚTOVÁ...
reklama
Určitě si přečtěte

Pojďme programovat elektroniku: Sestavíme si mobil a pošleme SMS

Pojďme programovat elektroniku: Sestavíme si mobil a pošleme SMS

** Kolik stál váš mobilní telefon? ** Základní GSM modem koupíte za stovku ** Umí telefonovat, posílat SMS a zvládne i GPRS

13.  1.  2017 | Jakub Čížek | 27

Auta budoucnosti: V tomto se budete za pár let vozit

Auta budoucnosti: V tomto se budete za pár let vozit

** Velký prostor patřil na letošním veletrhu CES automobilům ** Automobilová budoucnost je elektrická a inteligentní ** Podívejte se, jak je vývoj futuristických autonomních aut daleko

12.  1.  2017 | David Polesný | 34

Microsoft: Zbavte se už konečně zastaralých a děravých Windows 7

Microsoft: Zbavte se už konečně zastaralých a děravých Windows 7

** Microsoft pomalu začíná kritizovat svůj nejpopulárnější OS ** Chce konečně dostat podniky na Desítky ** Bezpečnostní podpora Sedmiček vydrží ještě necelé tři roky

Včera | Jakub Čížek | 180

Český státní blacklist už funguje. Ministerstvo financí se pochlubilo s detaily

Český státní blacklist už funguje. Ministerstvo financí se pochlubilo s detaily

** Dva týdny po Novém roce zajím zeje prázdnotou ** Ministerstvo vydalo metodický pokyn ** Takhle to bude fungovat v praxi

16.  1.  2017 | Jakub Čížek | 45


Aktuální číslo časopisu Computer

99 nejlepších programů pro váš počítač

Zvykejte si na umělou inteligenci

Velké testy PC zdrojů a gamepadů

Alternativní zdroje energie

reklama
reklama