Krytyczna podatność umożliwiająca całkowite ominięcie logowania w ZUS-ie

Co najmniej kilkanaście systemów administracji publicznej dostępnych z poziomu internetu było podatnych na atak umożliwiający całkowite pominięcie uwierzytelniania i zalogowanie się na konto dowolnej osoby fizycznej przy założeniu znajomości imienia, nazwiska i numeru PESEL ofiary.

[motylbezskrzydel]

O ku*wa, ale tam danych musiało wycieknąć. W ksefie oczywiście nigdy nie będzie takiego wycieku, musimy im zaufać

[zeszyt-w-kratke]

@motylbezskrzydel: czyli rozumiem że chcesz zrezygnować z elektronicznej wersji zus oraz z ksef tylko dlatego że dane mogą wyciec? Czyli wrócić do stania na poczcie z papierami oraz zbierania papierowych faktur? Problemem nie są systemy jak zus czy ksef tylko finansowanie tych projektów i to kto nad nimi pracuje. Zrezygnujmy z elektronicznej wersji zus i wtedy będziesz narzekał że polska jest zacofana bo w estonii jest wszystko tip top przez

[zeszyt-w-kratke]

nie potrzeba ksef to obsługi faktur w PDF.

@kamillus: tak nie potrzeba. Dzięki za informacje XD

[IntruderXXD]

https://zaufanatrzeciastrona.pl/post/hakowanie-e-sadu-yubikeyem-badanie-e-podpisow-cz-2/

O ile sama koncepcja podpisów kwalifikowanych jest bezpieczna pod względem kryptograficznym i faktycznym, o tyle tutaj zaszło coś wysoce niepokojącego na gruncie systemowym. Aplikacje w ogóle nie sprawdzały poprawności złożonych podpisów po stronie serwera. Wystarczył więc sam fakt przejścia procesu od początku do końca i przesłania komunikatu o określonej strukturze.

[mrKajko]

@IntruderXXD: panie, na teście nie działało to wyłączyli weryfikację a potem trzeba było szybko robić deploy i poszło

[IntruderXXD]

@hiperchimera: masz autyzm?

[Luciferrrro]

Zastanawiam się kiedy w końcu ZUS przepisze jakaś porządna firma inna niż kołchozy na literę A i C.

[tellet]

@Luciferrrro: nigdy

Pracowałem przy pue przy "A/C" jako doradcy.

Problem z tymi systemami jest taki, że tak jak normalnie system ma czas życia i jest pisany z grubsza od początku do końca przez jednego-dwóch kontrahentów, to jest

[Cozzie]

@tellet: Hehe, PUE.

Dla mnie najlepszy jest Płatnik ZUS, do którego jest osobny program do naprawy aktualizacji, "jeśli jakimś trafem nie działa" ( ͡° ͜ʖ ͡°)

[f1aSh]

Ja bym wolał krytyczną podatność umożliwiającą nie płacenie składek ZUS w JDG :)

[chmiels]

@ubog: widzisz pijaka za kierownicą możesz go zatrzymać, widzisz problem na swoim koncie zgłaszasz, nikt nie może tego zabronić

[typiczna_autentykacja]

@f1aSh: jestvtaka podatność, skutkuje tylko prywatną opieką zdrowotną

@mam_kosmate_mysli: nie ma. Masz obowiązek płacić ZUS jeżeli nie masz stosownych ulg wynikających z ustawy.

[matixrr]

A później ktoś pisze żebyśmy robili wybory online xD

[Hellicon]

@matixrr: Dokładnie. Nawet jakby to było bezpieczne to w całym procesie będzie brała udział mała grupka ludzi która przeczyta wynik z monitora. Idealne dla pejsatych żeby przekupić. Bezpieczeństwo wyborów polega na tym że armia ludzi liczy te głosy w małych oddziałach i ciężko to oszukać na masową skalę.

[matixrr]

@jagoslau: pamiętam że coś było, niestety u nas co chwilę jakaś afera że szczegóły człowiek zapomina ( ͡° ᴥ ͡°)

[Kismeth]

Prokom czy Comarch? Może kosztowało to miliardy, ale przynajmniej stażysta informatyk za minimalną i tak przemycił jakieś farfocle na poziomie hindusa.

[thePodstawczak]

@Kismeth: przecież ostatnio w MS wyszła podobna akcja. ... ... a nie, czekaj, hindus, wszystko się zgadza

[Werdna]

ale przynajmniej stażysta informatyk za minimalną i tak przemycił jakieś farfocle na poziomie hindusa.

@Kismeth: Albo druga równie prawdopodobna opcja - stażysta informatyk za minimalną nawet zauważył i zgłosił problem ale manago kazał mu zamknąć mordę i klepać wg wymagań ( ͡° ͜ʖ ͡°)

[lukas456432132]

Przetargi się całkowicie nie sprawdzają. Jedyny rozsądny model ROZWOJU oprogramowania to przekazanie tego do COI albo NASK. Ma to też swoje minusy bo budżetówka rozleniwia i są patologiczne podmiany dyrektorow miedzy kolejnymi przejściami PiS-po, ale wciąż jest lepsze niż przetargi. Warto też rozważyć open source.

[DriveSpace]

@lukas456432132: przetargi są po to, aby odpowiedzialność zrzucić na poprzednich tak jak w wyborach. W takim COI po trzecim fuckupie mie byłoby komu pravować.

[hakeryk2]

@Landmark: NASK to Ty szanuj bo robią na prawdę dobrą robotę

[1999]

To dlatego wyłączono niedawno możliwość logowania do e-ZUS za pomocą loginu i hasła?

[villog]

Najlepsze jest to (z cz. trzeciej artykułu na Z3S):

Obsługa podatności – ZUS

2026-03-17 [T+50 dni] – Ogłoszenie ZUS o wyłączeniu logowania podpisem od 30 marca 2026 r.

2026-03-31 [T+64 dni] – Usunięcie przycisku do logowania podpisem kwalifikowanym na frontendzie, przy czym API do logowania podpisem kwalifikowanym nadal było dostępne i podatne.

[raseri]

@villog: chyba już w 2024 byla pierwsza tego typu "luka"

[wmartinez]

@villog: akurat za takie cos, glowy powinny poleciec z dzialu odpowiedzialnego za obsluge takich zgloszen, bo w przeciwnym razie nic a nic sie nie zmieni

[hospes]

Bo to był przypadkowy błąd xD