Hlavní navigace

Nový POST.CZ umožňoval přístup k cizím schránkám

4. 12. 2000
Doba čtení: 5 minut

Sdílet

Jedna z prvních českých freemailových služeb POST.CZ změnila v pátek podobu, a to nejen po grafické stránce. Byla vyvinuta zcela nová aplikace, která se má především vyznačovat vyšší bezpečností. Hned po svém spuštění však obsahovala chybu, která umožňovala přístup ke schránkám ostatních přihlášených uživatelů.

Když už to vypadalo, že se s problémy freemailů na českém Internetu setkávat nebudeme, přišlo vystřízlivění v podobě hacknutí POSTu. Slovenské hackerské skupině binary.division se tehdy podařilo „nabourat“ oba POSTy (tedy český i slovenský) a změnit úvodní stránky, které pak umožňovaly získat heslo jakéhokoli uživatele. Servery sice byly po čtyřech minutách odstaveny, takže se uživatelům, kteří v té době navštívili stránky POSTu, pravděpodobně nepodařilo získat příliš mnoho hesel, kolik informací získali samotní hackeři však zůstává nadále otázkou. Již tehdy bylo slibováno spuštění nového a výrazně lépe zabezpečeného POS­Tu.

Toho, že bude nový POST.CZ (slovenský POST společnost Globe Internet prodala firmě kookee.com) pravděpodobně spuštěn v blízké době, si mohli pozornější z nás všimnout díky novým billboardům, které tuto službu propagují. Kromě výrazného slona není možno si nevšimnout provedení v barvách sítě Video On Line provozované společností Czech On Line, tedy majitele POST.CZ (správcem je však Globe Internet). O tom, kdy bude POST.CZ výrazněji začleněn do služeb Video On Line a převezme jeho design, se ostatně spekuluje již delší dobu.

Nový POST.CZ byl nakonec spuštěn v pátek, tedy 1. prosince a znovu se ukázalo, že všechny chyby se při odlaďování a testovaní nalézt nepodaří. Pokud je to však chyba, která umožňuje přístup ke schránkám ostatních přihlášených uživatelů, nedá se mluvit o drobném nedostatku souvisejícím se spuštěním nové služby.

Novinkou je rozdělení přístupu k POSTu mezi pět frontendů (v podstatě jsou to WWW servery přes které se službou komunikujete, tedy komunikační rozhraní). O co jde? Jednou z metod, jak efektivně rozložit výkon mezi více strojů je tzv. round robin. Ten umožňuje, aby bylo jednomu DNS jménu přiřazeno více IP adres, které jsou pak střídavě používány a dochází k rozložení zátěže mezi jednotlivé servery. V případě POSTu tak doménové jméno www.post.cz reprezentuje tři IP adresy:

drson:~$ host www.post.cz
www.post.cz             A       195.250.146.20
www.post.cz             A       195.250.146.21
www.post.cz             A       195.250.146.22

Proč jsou pouze tři, když frontedů je pět, zůstává otázkou. Jasné však je, že zatímco na čtvrtý server (195.250.146.23) přístup funguje, pátý hlásí neoprávněný přístup (v současné době slouží jako záložní a probíhá na něm testování). Ačkoli je tato metoda velice výhodná, může skrývat značné záludnosti, protože je nutné zajistit plynulé předávání uživatele mezi jednotlivými servery a právě v tom byl páteční problém POSTu.

Pokud se na nový POST přihlásil uživatel mající ve svém prohlížeči vypnuté cookies (což se však většiny uživatelů POSTu netýkalo), nebyly si ho jednotlivé frontendy schopny řádně předat. Celá chyba se pak projevovala tím, že po provedení jakékoliv operace, při které došlo k natažení nové stránky, se uživatel objevil ve schránce jiného přihlášeného uživatele POSTu, a to po každém natažení nové stránky ve zcela náhodné. Měl tak možnost přístupu k volbám všech přihlášených uživatelů.

Vzhledem k tomu, že v době této chyby neměla většina uživatelů svoji poštu ještě převedenu ze starého systému na nový, nebylo možno získat poštu všech přihlášených uživatelů. Zůstává také otázkou, co by se stalo, kdybychom se takovou poštu pokusili číst, protože bychom byli s největší pravděpodobností znovu špatně identifikováni, takže bychom se ke zvolené poště nejspíše nedostali. Když jsem tuto chybu v průběhu pátku sám zkoušel, dostal jsem se pěti kliknutími myší do pěti různých stránek z nichž jedna obsahovala emaily, jejich čtení jsem se však neodvážil, takže nemohu říci, zda by to fungovalo či ne. Celý aspekt má ještě jednu rovinu – bylo možné díky menu Nastavení zjistit skutečné jméno uživatele a některé další informace, teoreticky také změnit heslo, pravděpodobně bychom však ze stejných důvodů jako u čtení pošty neuspěli, mohli jsme však zjistit, jakou má uživatel kontrolní otázku a odpověď při zapomenutí hesla a pak se za něj bez problémů přihlásit…

Mnohem více zarážející než samotný fakt, že POST pracoval bez cookies nekorektně a zobrazoval soukromé informace ostatních uživatelů, je však to, po jakou dobu tato chyba fungovala. Od jednoho z našich čtenářů jsme dostali email o této chybě někdy v poledne, bohužel jsem se k jeho vyřízení dostal až někdy po druhé hodině odpolední, kdy se již zdálo, že chyba byla odstraněna. Ukázalo se však, že se nadále projevuje u jednoho z frontendů, kde ještě nebyl aplikován patch, který měl chybu odstranit, alespoň tak se domníval správce POST.CZ společnost Globe Internet. Moje testování POSTu v té době však dopadlo zcela bezproblémově, o tom, že chybu způsobuje právě cookies, jsem totiž neměl ani ponětí, takže jsem použil standardní nastavení svého prohlížeče, kde mám asi jako většina uživatelů cookies povoleny (ačkoli jsem jejich odpůrce). Až po několika mailech jsem se dozvěděl, že chyba se „týkala“ uživatelů nepoužívajících cookies. Obratem jsem tedy změnil konfiguraci svého prohlížeče a chyba i přes ujištění Jakuba Ditricha z Globe, že již byla definitivně odstraněna na všech frontendech, nadále fungovala, a to již bylo po páté hodině odpoledne. Následně byly všechny frontendy na přibližně hodinu odstaveny, respektive byl odepřen přístup všem uživatelům k frontendům:

355

BRAND24

Chyba byla nakonec lokalizována a odstraněna, na vině byla špatná konfigurace session v PHP. Nejsem znalcem PHP, takže nemohu posoudit o jak závažné opomenutí jde. Jak jsem již říkal, spíše mě zaráží, že chyba fungovala až do pozdních odpoledních hodin, a to tím spíše, že byla objevena poměrně brzy a začalo se pracovat na jejím odstranění. Technici v Globe Internet ji pak považovali za odstraněnou až do doby, kdy se znovu ukázalo, že tomu tak není.

Celá tato událost rozhodně POSTu neprospěje, je to v krátké době již druhý problém, který přímo ohrožoval informace jednotlivých uživatelů, ačkoli se s listopadovým hackem nedá srovnávat. Nový POST.CZ si tak dokázal uříznout trochu ostudy ještě dříve než se stačil pořádně rozjet. Nechci zde hodnotit jeho design a funkce, to bych přenechal jiným, přesto si neodpustím závěrem ještě jednu poznámku – když jsem se v sobotu pokoušel přesunout do své schránky emaily ze starého POSTu – nepodařilo se mi to…

Byl pro vás článek přínosný?

Autor článku

Autor je redaktorem serveru Lupa. Jeho specializací jsou poskytovatelé připojení a technické aspekty Internetu.
Upozorníme vás na články, které by vám neměly uniknout (maximálně 2x týdně).