Hlavní navigace

Nový POST.CZ umožňoval přístup k cizím schránkám

Karel Chvalovský

Jedna z prvních českých freemailových služeb POST.CZ změnila v pátek podobu, a to nejen po grafické stránce. Byla vyvinuta zcela nová aplikace, která se má především vyznačovat vyšší bezpečností. Hned po svém spuštění však obsahovala chybu, která umožňovala přístup ke schránkám ostatních přihlášených uživatelů.

Když už to vypadalo, že se s problémy freemailů na českém Internetu setkávat nebudeme, přišlo vystřízlivění v podobě hacknutí POSTu. Slovenské hackerské skupině binary.division se tehdy podařilo „nabourat“ oba POSTy (tedy český i slovenský) a změnit úvodní stránky, které pak umožňovaly získat heslo jakéhokoli uživatele. Servery sice byly po čtyřech minutách odstaveny, takže se uživatelům, kteří v té době navštívili stránky POSTu, pravděpodobně nepodařilo získat příliš mnoho hesel, kolik informací získali samotní hackeři však zůstává nadále otázkou. Již tehdy bylo slibováno spuštění nového a výrazně lépe zabezpečeného POS­Tu.

Toho, že bude nový POST.CZ (slovenský POST společnost Globe Internet prodala firmě kookee.com) pravděpodobně spuštěn v blízké době, si mohli pozornější z nás všimnout díky novým billboardům, které tuto službu propagují. Kromě výrazného slona není možno si nevšimnout provedení v barvách sítě Video On Line provozované společností Czech On Line, tedy majitele POST.CZ (správcem je však Globe Internet). O tom, kdy bude POST.CZ výrazněji začleněn do služeb Video On Line a převezme jeho design, se ostatně spekuluje již delší dobu.

Nový POST.CZ byl nakonec spuštěn v pátek, tedy 1. prosince a znovu se ukázalo, že všechny chyby se při odlaďování a testovaní nalézt nepodaří. Pokud je to však chyba, která umožňuje přístup ke schránkám ostatních přihlášených uživatelů, nedá se mluvit o drobném nedostatku souvisejícím se spuštěním nové služby.

Novinkou je rozdělení přístupu k POSTu mezi pět frontendů (v podstatě jsou to WWW servery přes které se službou komunikujete, tedy komunikační rozhraní). O co jde? Jednou z metod, jak efektivně rozložit výkon mezi více strojů je tzv. round robin. Ten umožňuje, aby bylo jednomu DNS jménu přiřazeno více IP adres, které jsou pak střídavě používány a dochází k rozložení zátěže mezi jednotlivé servery. V případě POSTu tak doménové jméno www.post.cz reprezentuje tři IP adresy:

drson:~$ host www.post.cz
www.post.cz             A       195.250.146.20
www.post.cz             A       195.250.146.21
www.post.cz             A       195.250.146.22

Proč jsou pouze tři, když frontedů je pět, zůstává otázkou. Jasné však je, že zatímco na čtvrtý server (195.250.146.23) přístup funguje, pátý hlásí neoprávněný přístup (v současné době slouží jako záložní a probíhá na něm testování). Ačkoli je tato metoda velice výhodná, může skrývat značné záludnosti, protože je nutné zajistit plynulé předávání uživatele mezi jednotlivými servery a právě v tom byl páteční problém POSTu.

Pokud se na nový POST přihlásil uživatel mající ve svém prohlížeči vypnuté cookies (což se však většiny uživatelů POSTu netýkalo), nebyly si ho jednotlivé frontendy schopny řádně předat. Celá chyba se pak projevovala tím, že po provedení jakékoliv operace, při které došlo k natažení nové stránky, se uživatel objevil ve schránce jiného přihlášeného uživatele POSTu, a to po každém natažení nové stránky ve zcela náhodné. Měl tak možnost přístupu k volbám všech přihlášených uživatelů.

Vzhledem k tomu, že v době této chyby neměla většina uživatelů svoji poštu ještě převedenu ze starého systému na nový, nebylo možno získat poštu všech přihlášených uživatelů. Zůstává také otázkou, co by se stalo, kdybychom se takovou poštu pokusili číst, protože bychom byli s největší pravděpodobností znovu špatně identifikováni, takže bychom se ke zvolené poště nejspíše nedostali. Když jsem tuto chybu v průběhu pátku sám zkoušel, dostal jsem se pěti kliknutími myší do pěti různých stránek z nichž jedna obsahovala emaily, jejich čtení jsem se však neodvážil, takže nemohu říci, zda by to fungovalo či ne. Celý aspekt má ještě jednu rovinu – bylo možné díky menu Nastavení zjistit skutečné jméno uživatele a některé další informace, teoreticky také změnit heslo, pravděpodobně bychom však ze stejných důvodů jako u čtení pošty neuspěli, mohli jsme však zjistit, jakou má uživatel kontrolní otázku a odpověď při zapomenutí hesla a pak se za něj bez problémů přihlásit…

Mnohem více zarážející než samotný fakt, že POST pracoval bez cookies nekorektně a zobrazoval soukromé informace ostatních uživatelů, je však to, po jakou dobu tato chyba fungovala. Od jednoho z našich čtenářů jsme dostali email o této chybě někdy v poledne, bohužel jsem se k jeho vyřízení dostal až někdy po druhé hodině odpolední, kdy se již zdálo, že chyba byla odstraněna. Ukázalo se však, že se nadále projevuje u jednoho z frontendů, kde ještě nebyl aplikován patch, který měl chybu odstranit, alespoň tak se domníval správce POST.CZ společnost Globe Internet. Moje testování POSTu v té době však dopadlo zcela bezproblémově, o tom, že chybu způsobuje právě cookies, jsem totiž neměl ani ponětí, takže jsem použil standardní nastavení svého prohlížeče, kde mám asi jako většina uživatelů cookies povoleny (ačkoli jsem jejich odpůrce). Až po několika mailech jsem se dozvěděl, že chyba se „týkala“ uživatelů nepoužívajících cookies. Obratem jsem tedy změnil konfiguraci svého prohlížeče a chyba i přes ujištění Jakuba Ditricha z Globe, že již byla definitivně odstraněna na všech frontendech, nadále fungovala, a to již bylo po páté hodině odpoledne. Následně byly všechny frontendy na přibližně hodinu odstaveny, respektive byl odepřen přístup všem uživatelům k frontendům:

355

Chyba byla nakonec lokalizována a odstraněna, na vině byla špatná konfigurace session v PHP. Nejsem znalcem PHP, takže nemohu posoudit o jak závažné opomenutí jde. Jak jsem již říkal, spíše mě zaráží, že chyba fungovala až do pozdních odpoledních hodin, a to tím spíše, že byla objevena poměrně brzy a začalo se pracovat na jejím odstranění. Technici v Globe Internet ji pak považovali za odstraněnou až do doby, kdy se znovu ukázalo, že tomu tak není.

Celá tato událost rozhodně POSTu neprospěje, je to v krátké době již druhý problém, který přímo ohrožoval informace jednotlivých uživatelů, ačkoli se s listopadovým hackem nedá srovnávat. Nový POST.CZ si tak dokázal uříznout trochu ostudy ještě dříve než se stačil pořádně rozjet. Nechci zde hodnotit jeho design a funkce, to bych přenechal jiným, přesto si neodpustím závěrem ještě jednu poznámku – když jsem se v sobotu pokoušel přesunout do své schránky emaily ze starého POSTu – nepodařilo se mi to…

Našli jste v článku chybu?

7. 12. 2000 18:59

Dan Lukes (neregistrovaný)
Nebyl bych TAK prisny ...

Uzna-li navrhar systemu, ze nejakou takovou "nadstandardni" funkcnost browseru potrebuje, je to politicke rozhodnuti na jake ma pravo (podobne jako kdyz se rozhodne udelat stranky, ktere jsou videt pouze v MSIE, ale ne v Netscape, stranky, ktere vyzaduji zapnuty JavaScript nebo, nedejboze, Javu, stranky vyzadujici nejaky plugin ...) - proste se rozhodne, ze urcitych uzivatelu je tak maly pocet, ze o nema zajem kvuli nim prodrazit vyvoj prislusne sluzby - musi si ale uved…

7. 12. 2000 10:14

Gola (neregistrovaný)
Čtvrtej den ráno data konečně převedeny. Při zadání všechny zprávy ve složce definitivně smazat vždycky jedna zůstane. Vodeslaný věčně nechtěj do odeslaných. SMS na Oskara nedošlo ani po dvou dnech (ze seznamu.cz to de a z email.cz jdou i přeposílat zprávy). Prostě hrůzy postupně ubývá.
Vitalia.cz: Jak si užít Vánoce bez lepku

Jak si užít Vánoce bez lepku

DigiZone.cz: Skylink: zpožděný kanál Prima +1

Skylink: zpožděný kanál Prima +1

Vitalia.cz: Co pomáhá dítěti při zácpě?

Co pomáhá dítěti při zácpě?

DigiZone.cz: V Plzni odstartovalo Radio 1

V Plzni odstartovalo Radio 1

Lupa.cz: Kolik ČR platí za sledování elektronické komunikace?

Kolik ČR platí za sledování elektronické komunikace?

120na80.cz: Rovnátka, která nejsou vidět

Rovnátka, která nejsou vidět

120na80.cz: 5 nejčastějších mýtů o kondomech

5 nejčastějších mýtů o kondomech

DigiZone.cz: Rádio Šlágr má licenci pro digi vysílání

Rádio Šlágr má licenci pro digi vysílání

Vitalia.cz: Analýza letáků: Na co lákají do prodejen?

Analýza letáků: Na co lákají do prodejen?

Vitalia.cz: Mondelez stahuje rizikovou čokoládu Milka

Mondelez stahuje rizikovou čokoládu Milka

Podnikatel.cz: Udávání kvůli EET začalo

Udávání kvůli EET začalo

Měšec.cz: Air Bank zruší TOP3 garanci a zdražuje kurzy

Air Bank zruší TOP3 garanci a zdražuje kurzy

Root.cz: 250 Mbit/s po telefonní lince, když máte štěstí

250 Mbit/s po telefonní lince, když máte štěstí

Měšec.cz: Stavební spoření: alternativa i pro seniory

Stavební spoření: alternativa i pro seniory

Root.cz: Pinebook: linuxový notebook za 89 dolarů

Pinebook: linuxový notebook za 89 dolarů

120na80.cz: Popraskané rty? Některé balzámy stav zhoršují

Popraskané rty? Některé balzámy stav zhoršují

120na80.cz: Pánové, pečujte o svoje přirození a prostatu

Pánové, pečujte o svoje přirození a prostatu

Vitalia.cz: Spor o mortadelu: podle Lidlu falšovaná nebyla

Spor o mortadelu: podle Lidlu falšovaná nebyla

Root.cz: Mirai má nový cíl 5 milionů routerů

Mirai má nový cíl 5 milionů routerů

Vitalia.cz: To nejhorší při horečce u dětí: Febrilní křeče

To nejhorší při horečce u dětí: Febrilní křeče