[v.....z]

Wraz z 'atakiem' na konta użytkowników wróciła kwestia bezpieczeństwa i prywatności, a także coroczne przypominanie Michałowi o konieczności wdrożenia szyfrowania. Korzystając z okazji postanowiłem podsłuchać samego siebie i pokazać, jakie dane można uzyskać, podsł#!$%@?ąc Wykopowicza. Dane, które byłyby w pełni niewidoczne dla hackera gdyby tylko portal był szyfrowany ;)

tl;dr :
Można przechwycić między innymi:
* Identyfikatory wykopywanych i zakopywanych znalezisk.
* Identyfikatory plusowanych oraz minusowanych komentarzy.
* Treść wysyłanych komentarzy i wpisów, co samo w sobie nie jest aż tak szkodliwe, ponieważ są to dane publiczne.
Oraz,uwaga:
* Treść prywatnych wiadomości, zarówno wiadomości odbierane, jak i wysyłane.

Czy hacker może zobaczyć, które komentarze plusujecie lub minusujecie? Owszem. Oto żądanie wysyłane w momencie kliknięcia plusa przy komentarzu. W adresie mamy dwa numery, w moim przypadku jest to 3709443 i 44844875. Pierwszy to identyfikator znaleziska, drugi to identyfikator konkretnego komentarza. Wystarczy wkleić numerki do następującego adresu:

[http://www.wykop.pl/link//comment//#comment-](http://www.wykop.pl/link//comment//#comment-) 

Voila. Wiemy, który komentarz zaplusowała nasza ofiara ;)

Prawdziwe 'szoł' zaczyna się, kiedy wkraczamy na pole prywatnych wiadomości. Na górze obrazka mamy screenshot 'wykopowy', poniżej znajduje się screenshot zawartości podsłuchanego żądania.
Czy można przechwycić treść prywatnych wiadomości? Oczywiście.
Przechwycić to, co wysyłacie komuś na PW? Jasne.

Kto może to zobaczyć? Informatycy dostawcy internetowego, administratorzy lokalnego neta, włamywacz któremu udało się dostać do sieci, bo hasłem do wifi było 'qwerty' lub nawet brat-gimbus, który chce poszpiegować brata, siostrę albo mamę. Takich kwiatków jest znacznie więcej, zatem warto mieć na uwadze, że ktoś może obserwować to, co robicie i piszecie.

To tak w ramach przypomnienia, gdzie zarząd portalu ma dobro swoich użytkowników. ( ͡° ʖ̯ ͡°)


#afera #aferabotowa #oswiadczenie

[v.....z]

Dla porównania, tak wygląda dodanie komentarza na portalu Reddit, który szyfrowanie posiada.
Nie można podsłuchać ani identyfikatorów ani treści żądań.

[paprok]

@von_stirlitz: sniffing to jest mały pikuś... dlaczego login prompt nie jest zabezpieczony przed floodem? wystarczyłoby 3 nieudane próby = blokada na 1h. nie byłoby problemu ani afery.

[v.....z]

dlaczego login prompt nie jest zabezpieczony przed floodem?

@paprok: This is wykop we're talking about.

[ProfesorJagoda]

@paprok: i wtedy biorę moją czarną listę i 3 razy jakimś automatem się loguje po kolei na każdego :) i tak co 59 minut - marzenia

[paprok]

@ProfesorJagoda: nie jestem programistą... na pewno da się to zrobić tak żeby miało ręce i nogi. ale nie tutaj XD

[QBA__]

To tak w ramach przypomnienia, gdzie zarząd portalu ma dobro swoich użytkowników. ( ͡° ʖ̯ ͡°)

@von_stirlitz: Jest już oficjalne stanowisko w tej sprawie właściciela serwisu:

[SnZ]

@von_stirlitz: kek, mylenie anty flooda/captchy z https'em

+ jw @zapoznalem @paprok

[v.....z]

kek, mylenie anty flooda/captchy z https'em

@SnZ: ?

[k.....n]

@SnZ ty z gatunku tl;dr?

[adam-bojarski]

Nie popadajmy w paranoję. Ja rozumiem szyfrowanie w bankach czy serwisach transakcyjnych, ale na portalu ze śmiesznymi obrazkami? Może jeszcze certyfikat extended validation? I dedykowany na każdą podstronę osobno? Bo przecież wildcard jest zły. A może tak wystarczyłoby https przy logowaniu, zablokowanie możliwości wielokrotnego logowania (np captcha po 3 nieudanych próbach lub 2-factor authentication z wykorzystaniem google authenticator?

Pozostaje jeszcze kwestia samego podsłuchania która aż tak trywialna nie jest. Atakujący musi być

[jaywalker]

@von_stirlitz: Ja nie wiem, czy w końcu ten #!$%@?łek trzeba zgłosić bezpośrednio do kogoś z Cinven, Permira lub Mid Europa żeby naprawić tak oczywiste błędy? :F

[mala_slodka_eklerka]

@adam-bojarski: Ale o hotspotach to oczywiście nie pomyślałeś. Tak, tak, łącząc się z nimi powinno się korzystać z VPN-a, ale ile osób to robi?

[M.....n]

@von_stirlitz: W sumie wystarczyło by AJAXa przerzucić na https... Chociaż nie wiem czy by przeglądarka wtedy się nie darła.

[ghostface]

@adam-bojarski: takie Google uważa, że HTTPS powinno być zawsze stosowane: https://developers.google.com/web/fundamentals/security/encrypt-in-transit/why-https

Podobnie zresztą wiele innych instytucji: https://https.cio.gov/everything/

[leszek_SK]

@paprok: i wtedy biorę moją czarną listę i 3 razy jakimś automatem się loguje po kolei na każdego :) i tak co 59 minut - marzenia

Wystarczy na white liste z ktorej zalogujesz sie na konto a zawieralaby ona ostatnie 3 IP z ktorego byly udane proby logowania (✌ ﾟ ∀ ﾟ)☞ albo kapec jesli IP jest inne od tej white listy

[SzarySzaryKowalski]

@von_stirlitz: jako rozwiązanie proponuję pisać szyfrem.

[combatcode]

@adam-bojarski: https powinno być na każdej podstronie i jest to w dzisiejszych czasach elementarna zasada zabezpieczania przepływu danych, pierwszy lepszy gimbazjalista może nasłuchiwać w zasięgu swojej antenki wifi przechodzący ruch, zgarnąć hasło użytkownika wykopu lub jego sesję

[adam-bojarski]

Nadal piszemy o marginalnych przypadkach kiedy https na stronie ze śmiesznymi obrazkami może się przydać. Ile osób korzysta z publicznych hotspotow w dobie taniego dostępu komórkowego? Gimbazjalista z antenka powiadacie? Chyba w spodniach na myśl o różowym. W dobie wpa2 złamanie hasła do WiFi nawet z dobrą kartą graficzną zajmuje sporo czasu (kilka lat dla haseł o długości 12 znaków) więc nadal czekam na jakieś sensowniejsze uzasadnienie poza Google zaleca, chrome będzie