Navigace:Pravda v očích.cz ⇒ Internet ⇒ Zjistěte si heslo jakéhokoliv uživatele Linkuj.cz!
Zjistěte si heslo jakéhokoliv uživatele Linkuj.cz!
Před třemi měsíci jsem zveřejnil článek, ve kterém upozorňuji na vážnou bezpečnostní "díru" v redakčním systému Linkuj.cz. Bohužel, článek tehdy k ničemu nevedl. Když jsem upozornil přímo Martina Snopka e-mailem, neuráčil se ani odpovědět. Dnes jsem se podíval a zjistil…Před třemi měsíci jsem zveřejnil článek, ve kterém upozorňuji na vážnou bezpečnostní "díru" v redakčním systému Linkuj.cz. Bohužel, článek tehdy k ničemu nevedl. Když jsem upozornil přímo Martina Snopka e-mailem, neuráčil se ani odpovědět. Dnes jsem se podíval a zjistil jsem, že tato závažná chyba na Linkuj stále je.
Proto cítím jako svou povinnost článek zveřejnit opětovně a snad s tím tentokrát někdo něco udělá.
Nenechte se mýlit, že CMS pohánějící Linkuj funguje profesionálně, on se tak jen tváří. Když totiž nahlédnete do cookies prohlížeče narazíte na položku cook_psw a ta obsahuje uložené vaše heslo v nijak nezašifrované formě. Je to pouhý plain-text! To znamená, že každý kdo by si prohlídl cookies ve vašem počítači, mohl by snadno získat vaše heslo.
To osobně považuji za naprostou neprofesionálnost. Osobně v PHP podobné věci řeším způsobem vygenerování klíče, který se uloží do cookies a podle kterého je relace později ověřována. Nikdy jsem heslo neukládal přímo do cookies a když už, tak alespoň v MD5 hashi.
Autoři systému Linkuj.cz by s tím měli urychleně něco udělat, protože do té doby se nedá Linkuj považovat za bezpečnou službu a osobně ji absolutně nedoporučuji používat na sdílených počítačích, v kavárnách, u kamaráda ...apod.
Jakub Dvořák |
Kometáře
To, ze je heslo v Cookies prohlizece ulozeno na linkuj.cz jako pain/text je uz dlouho znama skutecnost, a i na samotnem linkuj je o ni zalinkovana spousta clanku.
Nicmene, ty to tady popisujes, jako kdyby to byla buhvi jaka bezpecnostni chyba.
Pokud nechces mit heslo v cookies ulozeno, nepouzivej automaticke prihlaseni a budes mit po problemu.
Jinak to ze tam to heslo je ulozene neni zase tak velka bezpecnostni chyba, vzhledem k tomu, ze na linkuj je spousta jinych a mnohem zavaznejsich chyb.
Napriklad neni problem se prihlasit jako jakykoli uzivatel, ze ano - staci se trosicku snazit.
Pokud ty to resis tak, ze generujes Md5 a ukladas jej do cookies, tak to uz je temer jedno, zda tam bude pain-text, nebo hash. Utocnikovi staci vetsinou retezec, ktery se pouziva pro autorizaci a samotne heslo jej nezajima.
24.7.2008 18:07
Související články
- Zjistěte si heslo jakéhokoliv uživatele Linkuj.cz!
- Vaše heslo na HyperInzerce.cz není v bezpečí!
- Linkuj.cz nezabezpečuje hesla svých uživatelů
- Seznam Albert - WOW!
- Skype 3.0 (beta) je na světě!