Hlavní navigace

Vlákno názorů k článku Možná se dostanete do cizí schránky na Centrum Mail, účty jsou ale prý v bezpečí od jk_ - Ale tohle opravdu asi není primárně jejich bezpečnostní...

  • Článek je starý, nové názory již nelze přidávat.
  • 15. 6. 2013 9:22

    jk_ (neregistrovaný) ---.kolej.mff.cuni.cz

    Ale tohle opravdu asi není primárně jejich bezpečnostní průser. Podle popisu skoro jistě jde o nějaké bizarní nastavení proxy v síti uživatele, kdy ta proxy přes kterou se připojují dva uživatelé centra je schopná využít autentenzaci jednoho uživatele a výsledek zobrazit někomu jinému.

    Podivně nastavené firemní sítě je problém který je obecný, jako poskytovatel nějaké obecné služby s tím bojujete pořád, běžné špatné situace máte vyřešené, ale vždycky je možnost že to nějaké zařízení po trase prasí nějakým novým kreativním způsobem. Když vezmu trochu jiný protokol, tak jsem pro jednu webhostingovou firmu spravoval mailservery, a třeba jednou z perliček tohoto typu byla "transparentní" proxy která odchytává veškerý provoz na portu 25, předává i autentizaci a podobně, ale má interně nastavený limit na velikost zprávy 10M. Uživatel se na vás pochopitelně obrací s dotazem, že i když má v administraci mailu nastavený limit 30M, nedaří se mu větší zprávy odeslat.

    Obecně je to vlastně zvláštní druh man-in-the-middle útoku, kde ale bohužel často firemní pravidla omezují možnosti se bránit :-)

  • 14. 6. 2013 10:17

    Ondra (neregistrovaný) 82.113.38.---

    Jestli to není spíš tak, že tím über blbem je Dočekal...

  • 15. 6. 2013 11:05

    Pochybovač (neregistrovaný) ---.privacyfoundation.ch

    Jejich problém je to v každém případě. Proxy si uloží do cache stránky web mailu, budiž.

    Ale nemělo by se stát, že skrze tyto staré stránky se můžete autentizovat jako jiný uživatel a přistupovat k datům na serveru.
    Nemělo by být ani možné aby jste se autentizoval jako vy sám, stejně jako v předchozím přístupu na webmail. Pokd jste se řádně odhlásil.

    Jejich autentizační systém, i systém vlastního zobrazení pošty, by měl používat takový přístup, aby se vyloučilo uvedené chování. Možná bych to ještě tak pochopil kdyby celá ČR fungovala pro jejich poštu přes jedinou proxy s životností záznamů celé měsíce, spíše ale roky.

    P.S.
    Ono přistupovat k poště bez šifrovaného přístupu... Zpravidla i na vlastním stroji (počítač plně pod správou jediného koncového uživatele) mají lidé vypnutou podporu cache pro zabezpečený web. Pokud vím, tak u browserů tohle bývá jako výchozí nastavení.

  • 14. 6. 2013 16:12

    x (neregistrovaný) 2001:470:9e70:----:----:----:----:----

    To je klidne mozny ... jenze v tohle pripade je ten blb zcela jasne urcen tim vyjadrenim. Ne ze by byl sam, firem, kterym se nareportuje bug, ci primo bezpecnsotni pruser, a ony tvrdi, ze je prece vse OK ... je neurekom.

  • 15. 6. 2013 12:13

    Michal Kára (neregistrovaný) ---.jablonka.cz

    > Ale nemělo by se stát, že skrze tyto staré stránky se můžete autentizovat
    > jako jiný uživatel a přistupovat k datům na serveru.
    > Nemělo by být ani možné aby jste se autentizoval jako vy sám, stejně jako
    > v předchozím přístupu na webmail. Pokud jste se řádně odhlásil.

    Souhlasím. Ale z článku není zřejmé, že tohle Centrum dělá, respektive že se předchozí uživatel odhlásil a že neměl zapnuté trvalé přihlášení.

  • 14. 6. 2013 7:30

    x (neregistrovaný) 2001:470:9e70:----:----:----:----:----

    Jinak receno, tech mnoho odstavcu lze shrnout do jedine vety. Provozovatele centra jsou neschopni idioti a stepan burda je uber blb.

    V normalnim pripade bych totiz ocekaval, ze provozovatel sklapne paty, bude drzet hubu, a 24/7 makat na tom, aby se neco takovyho uz nikdy nestalo.