EnaA in njihov katastrofalni sistem za odjavo od spam-a

Aljoša je 11. avg 2012 ob 19:56 izjavil:

Težava z neposrednim geslom ni toliko zunanja zaščita podatkov pred vdorom, temveč interna. In na to smo pomislili že pred 13 leti, ko smo začenjali.

Aljoša, lahko pojasniš tole, da ne bo kakšnega nesporazuma zaradi napačnih interpretacij?

Aljoša je 11. avg 2012 ob 15:06 izjavil:

Gesla so druga zgodba. Na tem mestu lahko napišem le, da jih ne shranjujemo v clear-text načinu. Gre za starejši, nerazširjen sistem, ki zagotovo ni najboljši standard varnosti, je pa dovolj varen.

Dvojni ROT13 morda?

Če praktično takoj uspete dostaviti staro geslo v plain text obliki, potem verjemite, da bo gesla znal dešifrirati tudi notranji ali zunanji napadalec.

Primerno za objavo na http://plaintextoffenders.com/

XSS ranljivost pa omogoča tudi krajo piškotkov ... nedolžna povezava.

Men je useen, ampak a sm js les, al se mi samo zdi, da je hashanje in kriptiranje gesel ter preverjanje, če gre za pravi email naslov pri odjavi/prijavi stvar nekaj ur? Zakaj bi firma dovolila,d a se o tem razvije 2 strani dolga tema na najpopularnejšem forumu, fokusiranemu na rečeh, ki jih prodajajo?

Po moje manj kot 10% ljudi ve, kaj se sploh skriva izza tistih famoznih ISO certifikatov, ki jih izobešajo kot da so dokaz za to, da so kaj boljši od drugih.

Že za ISO 9001 so toliko časa trobili po medijih, da je to certifikat kakovosti, da so ljudje nazadnje začeli verjeti, da so sami proizvodi kakovostnejši, certificirani. Malo komu pa se v resnici sanja, da se gre zgolj za zbirko nekih pravilnikov, ki urejajo poslovanje podjetja, lahko pa vsebujejo tudi takšne banalitete, kot npr. opis podpisnega lista na katerem čistilka označi, kdaj je nazadnje očistila WC.

@para - če delaš neko rešitev 'na novo', je hashanje res malenkost, saj vse načrtuješ že s tem v mislih. Če pa imaš staro rešitev, kjer je vse neki prepleteno in seštrikano, pogosto tudi po domače naflikano, potem postane zadeva malo kompleksnejša.
Ampak to ni opravičilo, da pustiš potem stvar tako kot je, se zahvališ za obvestilo in kao delaš na tem. Naj je še tako boleče, bi morali stvar začasno blokirati in v nekaj urah napisat zasilno rešitev, ki morda nebi nudila polne funkcionalnosti problematične rešitve (ali pa ročno reševati tovrstne zahteve). Kakorkoli že, ne odobravam, da se pušča odprto varnostno luknjo, samo zato, ker še nimaš rešitve. Vedno se da nekaj improvizirati.

Samo res ne vem, v čem je tak problem poštimati vsaj tisti del za prijavo/odjavo od maila.
Dovolj bi že bilo, če bi mail naslove hashali in kot parameter za odjavo uporabili hash kodo naslova, namesto plaintext naslova. Dober programer bi to uredil v dveh urah, povprečen v enem dnevu. Jaz, ki nisem programer, pa si upam trditi, da bi to uredil v enem tednu.

Bo res moral nekdo v roke vzel najdaljšo dostopno listo email naslovov in jo v batchu nafutrat v enaa sistem, da bo naročenih še dodatnih nekaj stotisoč uporabnikov na vse štiri mailing liste? Ko bo enaa.com potem pristal na blokadi vseh znanih spam filtrov, se bodo pa morda zganili, in porihtali, kar bi že zdavnaj lahko?

Sicer me pa zanima, če bi se štelo kot kaznivo dejanje, če bi na enaa.com dodal na mailing liste vse znane naslove zaposlenih v uradu informacijske pooblaščenke. Bi bilo kaznivo, če bi jih naslednji dan prijavil nazaj (če bi se sami odjavili)?

Saj nisem trdil, da bi to bila 'končna rešitev' - lahko pa malo zasoliš tisti hash, pa ga ne bo mogel nek napadalec kar tako na hitro sproducirati - se bo mogel že malo bolje potruditi - za razliko od trenutne situacije, ko ni potrebno prav nobenega truda.

Če z dvema urama dela onemogočiš 98+% potencialnih zlonamernežev, je to več kot dovolj dobra začasna rešitev - vsaj za moje pojme.

Morda je to prvi znak, da 'delajo na problemu'?

Je pa v certificiranem sistemu zelo enostavno odkriti, kdo je odgovoren, ko pride do težav...
Mislim da jim bo to prišlo še kako prav

XSS ranljivost na EnaA je še vedno odprta.

EnaA še vedno razkriva ali je posameznik (z znanim naslovom e-pošte) prijavljen na vaš spam in ga je mogoče poljubno prijavljati in odjavljati. Primer.

Šifrirana po katerih zadnjih standardih?

V emailu za pozabljeno geslo sedaj res ni več starega gesla v plain text obliki, ampak povezava z GUID-om. A staro (pozabljeno) geslo kljub temu še vedno deluje.

Pa še ena stvar.
Subjecti v vaših mailih, v thunderbirdu, pogosto zgledajo takole:
=?windows-1250?Q?Kateri_je_tvoj_najljub=9Ai_model??=
To vam tudi ni ravno v ponos.