Registrace na Seznamu trpěla bezpečnostní chybou (aktualizováno)

Registrace na Seznamu trpěla bezpečnostní chybou (aktualizováno)

Aktualizováno: Tisková mluvčí Seznamu Irena Zatloukalová mi potvrdila, že programátoři bezpečnostní díru dnes ráno opravili. Registrace by tedy nyní měla být už bezpečná. 


Registrační stránka Seznamu obsahuje potenciální bezpečnostní chybu. Pokud vše vyplníte a klepnete na tlačítko Založit účet, formulář se správně odešle pomocí šifrovaného spojení. Jenže to má háček, kterého si všiml Michal Špaček a pochlubil se na Twitteru.

Data z formuláře se sice odesílají šifrovaně, ale při vyplňování hesla se zjišťuje, jestli je dostatečně silné. Tedy jestli je dostatečně dlouhé a obsahuje nějaké složitější znaky. Problém spočívá v tom, že tato kontrola neprobíhá přímo v prohlížeči, ale heslo se na pozadí přes ajax odesílá na server Seznamu v běžném GET dotazu společně s přihlašovacím jménem a v nešifrované podobě!

Klepněte pro větší obrázek Klepněte pro větší obrázek
Formulář se sice odešle pomocí šifrovaného SSL spojení, ale kontrola síly hesla probíhá na serveru, přičemž komunikace s ním je nešifrovaná

Bezpečnostní díru snadno ověříte v libovolném softwaru na zachytávání paketů v síti, nebo přímo v prohlížeči ve vývojářských nástrojích, které také vypisují HTTP komunikaci. Já jsem zvyklý na klasický Wireshark a na obrázku výše je patrné, jak to dopadlo. Zachytil jsem HTTP GET požadavek Javascriptu, který posílá ke kontrole heslo a přihlašovací jméno na server Seznamu v nešifrované podobě, takže jej může útočník v síti snadno odposlouchávat. Stejně jako jsem odposlouchával sám sebe.

O jak závažnou chybu se jedná? To je opravdu relativní – jedná se spíše o šrám na dobrém renomé Seznamu. Chyba se týká jen registrační stránky, takže k přenosu nešifrovaného hesla dojde u jednotlivce v ideálním případě jen jednou při registraci.

Relativizujícím prvkem je nakonec i prostá empirie. SSL v minulosti nebylo tak rozšířené a samozřejmé jako dnes, a přesto nedocházelo k masivním krádežím hesel a loginů. Ostatně většina menších webů nepoužívá SSL k přenášení hesel ani dnes, takže případný záškodník třeba ve firemních sítích by jich nasbíral docela dost tak jako tak. Ale to samozřejmě není omluva.

Firma velikosti Seznamu by se měla podobných bot opravdu vyvarovat. Přeci jen to není ledajaký blogísek z Horní Dolní.

Diskuze (29) Další článek: Nejlepší snímky Street View z ponorky i obřího Airbusu

Témata článku: Seznam.cz, Web, Bezpečnost, Ajax, Prostá empirie, Akt, Dobré renomé, Michal Špaček, Špaček, Bezpečnostní díra, Chyba, Omluva, Seznam, Masivní rozšíření, Přihlašovací stránka, Registr, Registrace, Záškodník, Případný záškodník


Určitě si přečtěte

Z rozmazané šmouhy krásná fotka. Takhle kouzlí nová umělá inteligence MyHeritage

Z rozmazané šmouhy krásná fotka. Takhle kouzlí nová umělá inteligence MyHeritage

** MyHeritage slibuje nejlepší neuronovou síť pro vylepšování fotek ** Funguje tím líp, čím horší fotku upravuje ** Otestovali jsme desítky různých snímků

Marek Lutonský, Lukáš Václavík | 39

Nejlepší aplikace na předpověď počasí: Kde nejlépe zjistit, co zrovna chcete vědět

Nejlepší aplikace na předpověď počasí: Kde nejlépe zjistit, co zrovna chcete vědět

Obecných aplikací na předpověď počasí je nespočet, jenže často skončí jen u základní informace o počasí a nenabídnou odpovědi na řadu praktických otázek. A tak jsme si položili právě několik takových otázek a hledali aplikace či meteoslužby, které nám nejlépe odpoví.

Karel Kilián | 4

Zapomeňte na kometu, české nebe každý den křižují mnohem zajímavější kousky

Zapomeňte na kometu, české nebe každý den křižují mnohem zajímavější kousky

** České nebe každý den křižuje hromada exotických letounů ** Na populární mapě Flightradar24 je ale nenajdete ** Jsou to vojenské letouny USA, UK a NATO

Jakub Čížek | 39

Filmové pirátství asi jen tak nezmizí. Když už musíte, stahujte bezpečně v Seedru

Filmové pirátství asi jen tak nezmizí. Když už musíte, stahujte bezpečně v Seedru

** Máme HBO Go, máme Netflix... ** Ale stejně krademe filmy a seriály ** Když už musíte, stahujte torrenty bezpečně v Seedru

Jakub Čížek | 140

Jak se žije s telefonem bez Googlu: Čerstvé zkušenosti s telefony Honor a Huawei

Jak se žije s telefonem bez Googlu: Čerstvé zkušenosti s telefony Honor a Huawei

** Honor u nás přichází s prvním telefonem bez Google Mobile Services ** Současný stav je lepší než na začátku, ideální ale není ** Zkusili jsme i hack s ručním přidáním služeb Googlu

Tomáš Holčík | 162


Aktuální číslo časopisu Computer

Megatest mobilů do 8 000 Kč

Test bezdrátových headsetů

Linux i pro začátečníky

Jak surfovat anonymně