Ośmiolatka exploituje zabezpieczenie zooma żeby uniknąć lekcji

Mała i niewinna luka w Zoomie umożliwiła dziewczynce unikanie lekcji przez trzy tygodnie, podczas gdy ani support ani szkolni spece nie mogli rozgryźć co jest nie tak. Lekcja z UX w praktyce.

[Volki]

Niech ktoś zrobi tl;dr, bo jest ściana tekstu, a pewnie można skrócić do 3 zdań.

[zetisdead]

@Volki: młoda wylogowywała się z zooma a potem 20 razy próbowała się logować ze złym hasłem, żeby zablokować konto i nie musieć siedzieć na zdalnych lekcjach.

[d.....k]

młoda wylogowywała się z zooma a potem 20 razy próbowała się logować ze złym hasłem, żeby zablokować konto i nie musieć siedzieć na zdalnych lekcjach.

@zetisdead: Ani rodzice, ani szkoła, ani pomoc techniczna Zoom nie mogli znaleźć przyczyny, bo komunikat przy logowaniu głosił "Złe hasło" zamiast "Konto zostało zablokowane".

[PotwornyKogut]

niezłe, ale częściowo zawinił niewłaściwie dobrany komunikat. tzn. utrudnił diagnozę.

a tak przy okazji, to była taka historia chłopaka z Polski, który otwierał źródło strony dziennika elektronicznego i podmieniał stopnie na lepsze zanim zawołał rodziców żeby sobie obejrzeli jego osiągnięcia. ciekawe, czy pracuje dzisiaj w IT?

[WillWonka]

@PotwornyKogut ja tak robiłem w gimnazjum, tylko robiłem sobie kopię całej strony, wrzucałem na lokalny serwer, a w pliku hosts podmieniałem IP. To były jeszcze czasy gdzie nie było aż tyle smartfonu, i miałem jednego kompa na chacie. Przez 1.5 roku (do skończenia gimnazjum) mi się to udawało.

[slizgi]

@qj0n w moich czasach byly analogowe dzienniki wiec znajomy w 8 klasie schował się w piątek w dziurze pod schodami, w nocy wszedł do pokoju nauczycieli i poprostu wyrwał i spalił wszystkie strony z ocenami większości klas

[m132]

programistów wrzucających wszystkie błędy pod jeden komunikat w stylu "nieznany błąd", czy jak w tym artykule "nieprawidłowe hasło", powinno się biczować

[shagwest]

@m132: "Nieznany błąd" swoją drogą, ale ograniczanie się do "zły login lub hasło" przy nieudanym logowaniu to akurat zalecane działanie ze względów bezpieczeństwa. Nie należy atakującemu oznajmiać czy konto istnieje, czy nie istnieje, jest czy nie jest zablokowane, po ilu próbach się blokuje, na jak długo i tak dalej. Bezpieczeństwo nie idzie w parze z wygodą.

[jacekowski]

@youshisu: Niekoniecznie, bo to oznacza ze jako atakujacy moge probowac haslo do oporu, jak sie komunikat zmieni ze konto zablokowane to wiem ze trafilem dobre haslo, teraz tylko poczekac az konto sie odblokuje i moge sie zalogowac.

[sowiq]

@whiteglove: a doczytałaś do końca mój komentarz? Przecież napisałem o tym :)

[u.....8]

@sowiq: "exploit" oznacza "wykorzystała". Złe tlumaczenie ym przypadku. Bo wykorzystała takie a nie inne zachowanie aplikacji

[g.....o]

@Mortas: fajnie ale moja córka studiuje prawo

[Syskiev]

@Cierniostwor: @godoto: Jestem wege, a mój syn studiuje medycynę
@thority: Uwielbiam to, że starsze pokolenie myśli, że jak ktoś siedzi kilka godzin dziennie przed komputerem to automatycznie musi być informatykiem.

[thund3rb0lt]

Muszę was rozczarować. Komunikat był zły nie dlatego, że mówił o złym haśle ale dlatego, że nie wspominał o złym loginie.

Nie podaje się prawdziwej przyczyny żeby nie można było stwierdzić czy kto ma gdzieś już konto.

Prawidłowy komunikat to: podałeś niepoprawny login lub hasło. I tyle. Każda kolejna wskazówka to potencjalne ryzyko.

Utrudnia

[raj]

@thund3rb0lt: Ale to, że support zooma nie widział, że konto jest zablokowane, to już jest nie w porządku.

[thund3rb0lt]

@raj: też tak myślę. Do tego sam użytkownik powinien dostać powiadomienie mejlem, że jego konto zostało po x próbach loginu prewencyjnie zablokowane ze wskazówkami jak postępować dalej.

[FortunaHej]

TL;DR To nie ma nic wspolengo z explitem.

1. Dla bezpieczenstwa wyswietla sie jak najbardziej skape komunikaty o bledzie, tu akurat tak skape, ze az bledne. Zamiast konto nie istnieje/konto zablokowane tu wyswietlali nieprawidlowe haslo.
2. Gowniara blokowala konto wpisujac zle haslo, zoom blokowal konto na x czasu.
3. Suppor zooma, odblokowal konto, ale ona znowu zablokowala.
4. Dopiero jak przestali jej wierzyc, sprawdzili, ze to faktycznie ona blokuje celowo to konto.

[OpelMajster]

Nie używałem zoom'a, ale dlaczego nie stworzyli jej nowego konta skoro nie mogła się zalogować?

[Czesterek]

@OpelMajster bo to jedna wielka kaczka dziennikarska czyli zwykła głupota i kłamstwo.

[P.....n]

@OpelMajster: skoro potem celowo błędnie wpisywała hasło i system ja blokował, to w zasadzie bez znaczenia na jakim koncie siedziała

[P.....n]

Bystrzaki w tym zoomie, aż ciężko uwierzyć, że pomoc techniczna nie wpadła na przyczynę mając podane tak charakterystyczne zachowanie serwisu