TL:DR UPC drukuje hasła użytkowników do poczty w serwisie UPC i przekazuje je swoim technikom. Przy wizycie technika (przedłużenie umowy i zmiana dekodera), na zleceniu, które miał ze sobą był login do mojej poczty UPC, a pod spodem wydrukowane moje hasło, które sobie ustawiłem kilka lat...

TL:DR

UPC drukuje hasła użytkowników do poczty w serwisie UPC i przekazuje je swoim technikom.

Przy wizycie technika (przedłużenie umowy i zmiana dekodera), na zleceniu, które miał ze sobą był login do mojej poczty UPC, a pod spodem wydrukowane moje hasło, które sobie ustawiłem kilka lat wcześniej (zmieniałem domyślne na własne). O jakiejkolwiek prywatności i bezpieczeństwie w przypadku poczty UPC można zapomnieć. Teoretycznie każdy pracownik UPC może mieć dostęp do skrzynek użytkowników. Napisałem do UPC w tej sprawie, czekam na odpowiedź.

[juzniepije]

A to nie jest poczta TYLKO do komunikacji z Pracownikami UPC?

[R.....n]

@juzniepije: Normalna skrzynka pocztowa jak gmail i wiele innych, którą dostajesz przy zawarciu umowy.

[Miecz12]

@Rajhan: ale ta poczta jest gowniana, nawet jej nie uzywam

[juzniepije]

@Rajhan: No to słabo. A wydawałoby się, że operatorowi można zaufać skoro oddajemy w jego ręce możliwość monitoringu całego naszego ruchu sieciowego.

[585984050]

aaaa, to Ty jestes tym uzytkownikiem, ktory korzysta z poczty w UPC! ;)

[R.....n]

@585984050: Na szczęście nie jestem, ale gdy technik wyczytał moje hasło do poczty trochę się zdziwiłem.

[Blu3skY]

@Rajhan: Pewnie to było hasło z gatunku tych "kluczy do wszystkich drzwi"?

Musisz bardziej uważać.

[R.....n]

@Blu3skY: Moje hasła to zawsze kombinacja liter małych, dużych, liczb i znaków specjalnych. W przypadku ich skrzynki nie ważne jak skomplikowane masz hasło, bo pracownik i tak je może poznać w każdej chwili.

[leon-san]

Można by sprawą zainteresować UOKiK i GIODO.

[mnlf]

@leon-san: oni już nie takie numery robili - kiedyś zaszyli w kodzie strony pesele wszystkich klientów (bo logowanie odbywało się za pomocą javaskryptu)

[jokefake]

@mnlf: no elo, korzystałem z upc na stancji, teraz czasami 'blokuja mi internet' mimo iż korzystam z innych operatorów.
wywala mi informacje że abonament nie zapłacony #!$%@? mi w dupe. musze czyścić cookisy ( ͡° ʖ̯ ͡°)

[JudeMason]

@mnlf: ᄽὁȍ ̪ őὀᄿ

[M.....S]

Tak serio to co tam znajdzie jak wejdzie faktury za usługi? reklamy od UPC? Nic więcej tam nie ma.

[R.....n]

@MRKRUS: Jak nie używasz tej skrzynki to rzeczywiście będą tam tylko faktury i informacje od UPC. Natomiast jeśli korzystasz z niej na co dzień, zamiast np. gmaila czy innych serwisów, to już zaczyna się robić nieciekawie.

[M.....S]

@Rajhan: Ile osób korzysta z tej skrzynki 0.01% abonamentów? Ja nawet rachunków tam nie sprawdzam, tylko na dekoderze.

[R.....n]

@MRKRUS: Czy to ważne ile osób z niej korzysta? Liczy się fakt, że tak wrażliwe dane jak hasła użytkowników wędrują sobie wydrukowane pomiędzy pracownikami.

[f.....s]

Od lat tak robią. Nikt normalny nie używa poczty operatora internetu ;) Blokuje Ci to możliwość jego zmiany bez utraty adresu

[Usunelem_Konto]

@factorys: Akurat TP miało własne skrzynki pocztowe i hasło nie było dostępne dla osoby trzecich jak PRACOWNICY! tylko i wyłącznie dostęp do hasła miał użytkownik .

[kruel_power_cube]

@Usunelem_Konto: Widzsz a są tacy usługodacwy co nie zapamiętują haseł w ogóle i je jeszcze solą.

[jedrzej-pawlowski]

Czyli trzymają hasła plain-textem? To już jest powód do ścigania przy audycie przechowywania danych osobowych.

[R.....n]

@jedrzej-pawlowski: Wiem tylko, że na zleceniu było wydrukowane moje hasło, nie mam informacji jak je przechowują ale się domyślam ( ͡° ͜ʖ ͡°)

[jedrzej-pawlowski]

@Rajhan: Może #!$%@?ą odwracalną funkcją :D

[R.....n]

Hasła są zahashowane odwracalną funkcją w kierunku przeciwnym do odwrotnego ( ͡° ͜ʖ ͡°)

[kitor]

@niebezpiecznik-pl @ZaufanaTrzeciaStrona może podłapiecie temat?

[niebezpiecznik-pl]

@kitor: zapytanie wysłane ( ͡° ͜ʖ ͡°)

[mpower]

Jest rok 2016, a niektóre systemy informatyczne zatrzymały się w rozwoju na 1996. Ja rozumiem, żeby takie kwiatki występowały w firmach zatrudniających 5 osób i świadczących usługi dla podobnej ilości. Ale jak takie coś przechodzi w firmie świadczącej usługi internetowe, która powinna być w jakimś stopniu wyznacznikiem nowych standardów? Wstyd.

[UlfNitjsefni]

@mpower: zdziwiłbyś się co przechodzi w dużych firmach i jakie tam bywają standardy w różnych działach.

[mpower]

@UlfNitjsefni: ja o tym wiem, bo zajmuję się tworzeniem systemów dla takich firm i nie raz widziałem podobne kwiatki. Ale nikt nigdy tych danych nie prezentował klientom. To już jest przegięcie.

[u.....a]

a rozumiem, żeby takie kwiatki występowały w firmach zatrudniających 5 osób i świadczących usługi dla podobnej ilości.

@mpower: Cholera, jestem dość mocno przekonany że jest mniejsza szansa - właśnie w przypadku takiej firmy 5 osobowej. Jak jest 5 osób - to raczej nie ma aż tylu idiotów, którzy kompletnie się na niczym nie znają (tzw. kierownictwo).

[bizn]

Jest to złamanie prawa

[qj0n]

@bizn: ...chyba, że regulamin mówi, że coś takiego może mieć miejsce.

[amielucha]

@qj0n: Regulamin firmy nie może stać ponad prawem.

[qj0n]

@amielucha: A jakie prawo mówi, że nie można udostępniać haseł pracownikom?

Hasło to nie dane osobowe. W regulaminie lub umowie można zapisać coś w stylu "mail UPC służy do kontaktu klienta z firmą UPC i może być przeglądany przez pracowników UPC. Dla celów wsparcia technicznego pracownicy UPC mogą mieć dostęp do hasła. Jeśli prześlesz przez tego maila informacje prywatne lub niejawne to musisz liczyć się z tym, że pracownicy UPC się

[g.....-]

@rajhan: a to nie jest tak , ze te haslo musisz zmienic przy pierwszym uzyciu ?

[Detharon]

@gregu-:

moje hasło, które sobie ustawiłem kilka lat wcześniej (zmieniałem domyślne na własne)

[R.....n]

@gregu-: No i tak zrobiłem kilka lat temu, a na zleceniu było moje obecne hasło. Umowę przedłużałem, więc nie było potrzeby zakładania nowej poczty z nowym loginem itd.

[Usunelem_Konto]

@gregu-: Nie ważne czy trzeba zmieniać hasło czy nie... Osoba trzecia sobie zmieni i będzie miała dostęp do wrażliwych danych osobowych -.-

[g.....0]

ktoś tego w ogóle uzywa?

[B.....r]

I bardzo dobrze! Piętnować takie firmy co trzymają "plain textem" hasła w bazie albo zaszyfrowane symetrycznie przez co można odzyskać hasło bez problemu podając tylko klucz do odszyfrowania.

#januszeinformatyki

[xarafaxz]

@BobBuilder: To teraz powiedz no mistrzu jak zamierzasz w usłudze poczty elektronicznej przechowywać hasła w taki sposób aby było to kompatybilne z popularnymi sposobami autoryzacji: PLAIN, CRAM-MD5, DIGEST-MD5, NTLM,

A nie masz zielonego pojęcia czym ci się podłączy użytkownik do usługi. Tylko bez bredni w stylu tylko hasło CLEAR TEXT i SSL/TLS wszędzie, bo to jest tutaj akurat biznesowo niewykonalne a i implementacje TLS/SSL miewają poważne dziury zwłaszcza w bardziej niszowych

[kruel_power_cube]

podając tylko klucz do odszyfrowania.

@BobBuilder: Tylko? Prędzej znajdziesz pasujące hasło z hasha niż odszyftujesz AES-a

[Detharon]

Czyli wygląda na to, że nie szyfrują haseł na serwerze i dostęp do nich mają pracownicy UPC. Najgorsze jest jednak to... że najwyraźniej nie widzą w tym nic złego. Chciałbym, żeby to nie było prawdą.

[amielucha]

@Detharon: W firmie hostingowej dla której pracowałem mieliśmy wyszukiwarkę haseł i innych tego typu mało znaczących drobiazgów. Wystarczyło wpisać domenę strony i wyszukiwarka wysypywała:

- nazwę użytkownika serwisu i hasło do panelu
- wszystkie loginy do FTP razem z hasłami
- wszystkie adresy email na danej domenie razem z hasłami
- wszystkie bazy danych razem z hasłami
- inne statystyki, użycie dysku, wykorzystany transfer itp.

Jako smaczek dodam, że każdy w

[Detharon]

@amielucha: super bezpieczeństwo ( ͡° ͜ʖ ͡°) Do tej pory najgorszym zabezpieczeniem jakie widziałem były hasła haszowane md5 bez soli, podatne na odszyfrowanie tęczowymi tablicami, ale jak widać w porównaniu do niektórych firm to i tak nieźle jest.

[m.....y]

@Detharon: skąd wiesz, że nie szyfrują? Po pierwsze, do bazy danych i tak nie ma dostępu postronna osoba, po drugie nie wiemy, w jakiej postaci przechowują hasło, być może jest szyfrowane tylko im znaną funkcją. A jeśli pracownik nadużywa swoich przywilejów do celów prywatnych to sąd się takimi sprawami zajmuje. Wielka afera bo PRACOWNICY firmy mają dostęp do danych klienta gównopoczty... A to, że banki i inne instytucje mają wasze adresy,

[W.....v]

@Rajhan: Ja wiem, że trzeba się podzielić znaleziskiem ze światem jak najszybciej, ale wypada jednak najpierw poczekać na odpowiedź ze strony UPC, chyba mają jakieś terminy na odpowiedź.
Po drugie - czy to hasło nie jest takie samo jak hasło z umowy do weryfikacji danych abonenta albo coś w tym stylu? Czy operator nie wymaga aby np. przy pierwszym logowaniu zmienić to hasło na swoje?

[shela]

moje hasło, które sobie ustawiłem kilka lat wcześniej (zmieniałem domyślne na własne)

@WasylSpalinov:

[R.....n]

Po drugie - czy to hasło nie jest takie samo jak hasło z umowy do weryfikacji danych abonenta albo coś w tym stylu? Czy operator nie wymaga aby np. przy pierwszym logowaniu zmienić to hasło na swoje?

@WasylSpalinov: Powtarzam: "No i tak zrobiłem kilka lat temu, a na zleceniu było moje obecne hasło. Umowę przedłużałem, więc nie było potrzeby zakładania nowej poczty z nowym loginem itd."

Znalezisko zrobiłem dlatego, że jeśli

[W.....v]

@shela: ok, mój błąd, na początku zrozumiałem że na tym dokumencie było to domyślne hasło.

[m.....e]

@niebezpiecznik-pl Myślę, że ktoś z drużyny Koniecznego powinien się zająć tematem. Mają sporą siłę przebicia. Naganne jest nie tylko drukowanie tego hasła dla pracownika, ale już sam fakt trzymania go w systemie niezakodowanego.

[niebezpiecznik-pl]

@manwe: roger, on my way!

[R.....n]

@niebezpiecznik-pl: Gdybyście potrzebowali dodatkowych informacji to piszcie śmiało.

[g.....r]

Tak się dzieje przy fali idiotów z którymi się dogadać nie idzie, oraz klikają w reklamy i myślą że aplikacje z wielkim, czerwonym guzikiem zabezpieczą ich sprzęt ( ͡° ͜ʖ ͡°)
Bo o leminga trzeba dbać jak sobie zainfekuje sprzęt :D

[saif3r]

Problem polega na tym, ze użytkownicy często uzywają jednego hasła do kilku kont, więc taki pracownik UPC w wielu przypadkach ma zapewne dostęp do prywatnej poczty klientów, którzy przy zawieraniu umowy podają swój prywatny email.

[ostatni_i_sprawiedliwy]

Hasłem do maila się przejmujesz... UPC może zdalnie włączyć i wyłączyć ci WiFi na twoim boxie. Może również zmienić ci hasło do WiFi. Więc włączenie WiFi na jeden dzień, zaparkowanie autem pod twoim domem, wysłanie maila z informacjami o podłożeniu niebezpiecznych materiałów tu i tam... żaden problem. Poszło z twojego IP - jak udowodnisz, że to nie ty?
I ja wcale nie żartuję.

[l.....r]

@ostatni_i_sprawiedliwy: Protip nr1 - nie korzystać ze sprzętu od ISP.

[ostatni_i_sprawiedliwy]

Protip nr1 - nie korzystać ze sprzętu od ISP.

@lerner: Nie da się. Nie w przypadku UPC. Oni robią zdalne updatye'y itp. Chcą mieć możliwość zdalnej rekonfiguracji urządzenia dostępowego. Wszystko dobrze, puki jest dobrze.

[l.....r]

Chcą mieć możliwość zdalnej rekonfiguracji urządzenia dostępowego.

@ostatni_i_sprawiedliwy: no to tym bardziej powinna się zapalić czerwona lampka.

[karski]

UPC to jest dla mnie totalna porażka pod każdym względem.

[R.....n]

@karski: Akurat ja mam chyba wyjątkowe szczęście bo poza ww. sytuacją ich usługi działają mi w miarę bezawaryjnie od lat.

[karski]

@Rajhan: u mnie rozłącza w trakcie grania, 60 pinga na niemieckich serwerach w szczecinie, spadki transferu i ich bezczelne oferty połączone z tragowaniem się

[L.....c]

u mnie rozłącza w trakcie grania

@karski: To sobie komputer sprawdź, bo z mnóstwo moich znajomych korzysta z UPC w Szczecinie i nie ma żadnych takich sytuacji.

[Krawcowy]

W Playu na umowie też jest hasło do konta. Mniejszy zasięg, bo tylko konsultant ma dostęp, ale jeśli ktoś ma wszędzie takie same hasło, to można zrobić psikusa

[Alkreni]

@TheMan #obgadujo

[poradnikspeleologiczny]

Dlaczego zasłaniasz hasło, przecież wszyscy już je znają ( ͡º ͜ʖ͡º)

[Stivo75]

@Rajhan : Troluj teraz UPC tak
1) Zmień hasło na osiem gwiazdek ******
2) Wezwij technika
3) Technik puka do drzwi zmieniasz hasło na siedem gwiazdek ****
4) Technik sprawdza czemu nie można się zalogować wpisując osiem gwiazdek
( ͡° ͜ʖ ͡°)

[mnichpanda95]

@Stivo75: dobre już wkrótce nagram vloga z przebiegu

[benyowsky]

@Stivo75: u nich bezpieczeństwo to zawsze był temat, którego unikali, albo o którym nie mieli pojęcia. Jak mi zakładali nowy net z tym ich routerem to zostawili standardowe hasło i login i poszli w #!$%@?. Ja sobie zmienię ustawienia, sieć zabezpieczę, a ilu ludzi nie zmienia i robi za Hot-Spota?

Poza tym kiedyś mieli elektroniczną fakturę (która u nich jest jednym, wielkim gównem) zrobioną na javie. Chodziło to jak chciało w

[tothu]

@Stivo75: mistrz

[wojTrek]

No to choć utrudniajcie stosując hasła w stylu !:>£{»`,~[$·xd€*;"'''':509$Ah)&dtiD&€;iu

[DumnyzbyciaPolakiem]

@wojTrek:
Przecież treścią znaleziska jest to,że oni mają normalnie napisane na kartce twoje hasło.Jak chcesz im utrudnić,jak wszystkie skomplikowane hasła jakie byłbyś w stanie wymyślić,choćby miały po sto znaków,z różnymi ich wielkościami,cyframi i symbolami on (technik czyli obcy kompletnie i przypadkowy człowiek) będzie w stanie sobie wydrukować chwilę po tym jak je wprowadzisz,wejść tobie na pocztę i sobie maila napisać,i twoje poczytać?
A jak mu się będzie nudziło,to jeszcze twoje skomplikowane

[wojTrek]

@DumnyzbyciaPolakiem: chodzi tylko o utrudnienie życia, wpisuj sobie teraz z kartki takie hasło. Pomylić się nie jest trudno przy takim haśle.