⚫️متن زیر که عینا از توییتر آقای ابراهیم قاسمی نقل می شود قابل توجه است. حق پاسخگویی برای شرکتی که نام برده اند در این کانال محفوظ است:
✍️« چهار هفته پیش مشغول ثبت‌نام غیر حضوری داخل وب‌سایت یکی از کارگزاری‌های بورس بودم. توی مرحله‌ی آخر بعد از وارد کردن همه‌ی اطلاعات شناسنامه‌ای، اطلاعات حساب‌های بانکی، آدرس محل کار و منزل و تلفن و موبایل و ...، بعد از این که دکمه‌ی ثبت رو زدم، با کادری مواجه شدم که صرفا با دریافت کد ملی، همه‌ی اطلاعات پرونده‌م رو در قالب فایل pdf برای دانلود در اختیار می‌گذاشت. طبیعتا برای من که اندکی از امنیت سر می‌آرم، اولین چیزی که به ذهنم رسید وجود باگ Enumeration توی پیاده‌سازی این تابع بود. به عبارت دیگه هر کسی می‌تونست وارد قسمت پیگیری وب‌سایت این کارگزاری بشه و با وارد کردن کد ملی من یا هر کد ملی دلخواه دیگه‌ای، همه‌ی اطلاعات فوق، که بعضا خیلی مهم هست رو استخراج کنه. البته وجود چنین فاجعه‌ای که نقض بدیهیات پیاده‌سازی سیستم امن برای چنین شرکت‌هایی هست، خودش نشونه وجود باگ‌های بعدی بود. به خاطر همین یه مقدار بررسی عمیق‌تر انجام دادم و متوجه شدم نه تنها باگ enumeration وجود داره، بلکه روی همه‌ی فیلد‌های جدول مربوطه‌ی پایگاه‌داده، آسیب‌پذیری SQL Injection هم وجود داره. به عبارت دیگه، هر کسی نه تنها می‌تونست با کد ملی اقدام به استخراج همه‌ی اطلاعات کاربرها بکنه، بلکه می‌تونست با هر کدوم از اطلاعات شناسنامه‌ای، حساب بانکی، تاریخ تولد، شماره موبایل و شماره منزل و ...، این کار رو انجام بده.
اینجا، لحظه‌ای بود که مضطرب و توامان خشمگین از این همه بی‌توجهی به اطلاعات افراد، به دنبال راهی برای گزارش آسیب‌پذیری گشتم. سایت کارگزاری مذکور، متاسفانه هیچ قسمتی برای چنین گزارشی نداشت، اما در ادامه متوجه شدم که آسیب‌پذیری برای محصولی از شرکت ***** است و تنها مختص این کارگزاری نیست. بلکه ۲۲ کارگزاری دیگه، که همگی از مشتریان ***** هستند هم نسبت به آن آسیب‌پذیرند. در نهایت ایمیلی با شرح جزئیات فنی روانه‌ی ***** کردم. طبیعتا پیش از رفع آسیب‌پذیری با برخوردی محترمانه و امید بخش و ابراز تمایل به پرداخت باگ‌بانتی و همکاری مواجه شدم. آسیب‌پذیری مذکور هم سریعا (هر چند با ایراداتی جزئی) مرتفع شد. اما پس از رفع باگ، نه تنها از باگ‌بانتی خبری نشد، بلکه تلفن‌ها و پیام‌های بنده هم بدون پاسخ ماند و بعلاوه، مهم‌تر از همه، هیچ هشداری مبنی بر امکان افشا شدن اطلاعات به مشتریان ارسال نگردید!
البته در این ماجرا نه فقط شرکت ***** ، بلکه نهاد نظارتی که مجوز چنین سامانه‌ای با چنین رخنه‌های امنیتی بدیهی، فاحش و خطرناکی را صادر می‌نمایند، همگی مقصرند و باید پاسخگو باشند. امیدوارم قوانینی تصویب شود که امکان چنین افشاهایی را به حداقل برساند و بعلاوه فرهنگ باگ‌بانتی در کشور جدی تر شده که شاید #هکر های کلاه سفید تشویق به گزارش آسیب‌پذیری‌های چنین سامانه‌های شوند.»
🆔 @PingChannel
خبر، تحلیل، انتقاد - فناوری اطلاعات
✍️« چهار هفته پیش مشغول ثبت‌نام غیر حضوری داخل وب‌سایت یکی از کارگزاری‌های بورس بودم. توی مرحله‌ی آخر بعد از وارد کردن همه‌ی اطلاعات شناسنامه‌ای، اطلاعات حساب‌های بانکی، آدرس محل کار و منزل و تلفن و موبایل و ...، بعد از این که دکمه‌ی ثبت رو زدم، با کادری مواجه شدم که صرفا با دریافت کد ملی، همه‌ی اطلاعات پرونده‌م رو در قالب فایل pdf برای دانلود در اختیار می‌گذاشت. طبیعتا برای من که اندکی از امنیت سر می‌آرم، اولین چیزی که به ذهنم رسید وجود باگ Enumeration توی پیاده‌سازی این تابع بود. به عبارت دیگه هر کسی می‌تونست وارد قسمت پیگیری وب‌سایت این کارگزاری بشه و با وارد کردن کد ملی من یا هر کد ملی دلخواه دیگه‌ای، همه‌ی اطلاعات فوق، که بعضا خیلی مهم هست رو استخراج کنه. البته وجود چنین فاجعه‌ای که نقض بدیهیات پیاده‌سازی سیستم امن برای چنین شرکت‌هایی هست، خودش نشونه وجود باگ‌های بعدی بود. به خاطر همین یه مقدار بررسی عمیق‌تر انجام دادم و متوجه شدم نه تنها باگ enumeration وجود داره، بلکه روی همه‌ی فیلد‌های جدول مربوطه‌ی پایگاه‌داده، آسیب‌پذیری SQL Injection هم وجود داره. به عبارت دیگه، هر کسی نه تنها می‌تونست با کد ملی اقدام به استخراج همه‌ی اطلاعات کاربرها بکنه، بلکه می‌تونست با هر کدوم از اطلاعات شناسنامه‌ای، حساب بانکی، تاریخ تولد، شماره موبایل و شماره منزل و ...، این کار رو انجام بده.
اینجا، لحظه‌ای بود که مضطرب و توامان خشمگین از این همه بی‌توجهی به اطلاعات افراد، به دنبال راهی برای گزارش آسیب‌پذیری گشتم. سایت کارگزاری مذکور، متاسفانه هیچ قسمتی برای چنین گزارشی نداشت، اما در ادامه متوجه شدم که آسیب‌پذیری برای محصولی از شرکت ***** است و تنها مختص این کارگزاری نیست. بلکه ۲۲ کارگزاری دیگه، که همگی از مشتریان ***** هستند هم نسبت به آن آسیب‌پذیرند. در نهایت ایمیلی با شرح جزئیات فنی روانه‌ی ***** کردم. طبیعتا پیش از رفع آسیب‌پذیری با برخوردی محترمانه و امید بخش و ابراز تمایل به پرداخت باگ‌بانتی و همکاری مواجه شدم. آسیب‌پذیری مذکور هم سریعا (هر چند با ایراداتی جزئی) مرتفع شد. اما پس از رفع باگ، نه تنها از باگ‌بانتی خبری نشد، بلکه تلفن‌ها و پیام‌های بنده هم بدون پاسخ ماند و بعلاوه، مهم‌تر از همه، هیچ هشداری مبنی بر امکان افشا شدن اطلاعات به مشتریان ارسال نگردید!
البته در این ماجرا نه فقط شرکت ***** ، بلکه نهاد نظارتی که مجوز چنین سامانه‌ای با چنین رخنه‌های امنیتی بدیهی، فاحش و خطرناکی را صادر می‌نمایند، همگی مقصرند و باید پاسخگو باشند. امیدوارم قوانینی تصویب شود که امکان چنین افشاهایی را به حداقل برساند و بعلاوه فرهنگ باگ‌بانتی در کشور جدی تر شده که شاید #هکر های کلاه سفید تشویق به گزارش آسیب‌پذیری‌های چنین سامانه‌های شوند.»
🆔 @PingChannel
خبر، تحلیل، انتقاد - فناوری اطلاعات
Comments
Be the first to add a comment
Log in to comment