[v.....z]

Wraz z 'atakiem' na konta użytkowników wróciła kwestia bezpieczeństwa i prywatności, a także coroczne przypominanie Michałowi o konieczności wdrożenia szyfrowania. Korzystając z okazji postanowiłem podsłuchać samego siebie i pokazać, jakie dane można uzyskać, podsł#!$%@?ąc Wykopowicza. Dane, które byłyby w pełni niewidoczne dla hackera gdyby tylko portal był szyfrowany ;)

tl;dr :
Można przechwycić między innymi:
* Identyfikatory wykopywanych i zakopywanych znalezisk.
* Identyfikatory plusowanych oraz minusowanych komentarzy.
* Treść wysyłanych komentarzy i wpisów, co samo w sobie nie jest aż tak szkodliwe, ponieważ są to dane publiczne.
Oraz,uwaga:
* Treść prywatnych wiadomości, zarówno wiadomości odbierane, jak i wysyłane.

Czy hacker może zobaczyć, które komentarze plusujecie lub minusujecie? Owszem. Oto żądanie wysyłane w momencie kliknięcia plusa przy komentarzu. W adresie mamy dwa numery, w moim przypadku jest to 3709443 i 44844875. Pierwszy to identyfikator znaleziska, drugi to identyfikator konkretnego komentarza. Wystarczy wkleić numerki do następującego adresu:

[http://www.wykop.pl/link//comment//#comment-](http://www.wykop.pl/link//comment//#comment-) 

Voila. Wiemy, który komentarz zaplusowała nasza ofiara ;)

Prawdziwe 'szoł' zaczyna się, kiedy wkraczamy na pole prywatnych wiadomości. Na górze obrazka mamy screenshot 'wykopowy', poniżej znajduje się screenshot zawartości podsłuchanego żądania.
Czy można przechwycić treść prywatnych wiadomości? Oczywiście.
Przechwycić to, co wysyłacie komuś na PW? Jasne.

Kto może to zobaczyć? Informatycy dostawcy internetowego, administratorzy lokalnego neta, włamywacz któremu udało się dostać do sieci, bo hasłem do wifi było 'qwerty' lub nawet brat-gimbus, który chce poszpiegować brata, siostrę albo mamę. Takich kwiatków jest znacznie więcej, zatem warto mieć na uwadze, że ktoś może obserwować to, co robicie i piszecie.

To tak w ramach przypomnienia, gdzie zarząd portalu ma dobro swoich użytkowników. ( ͡° ʖ̯ ͡°)


#afera #aferabotowa #oswiadczenie

[totson]

@ProfesorJagoda: @paprok:
Wystarczyłoby do logowania używać maila jako loginu zamiast nicka i żaden śmieszek by nikogo nie zblokował (chyba że jakimś sposobem pozna tego maila ( ͡° ͜ʖ ͡°) )

[lucku]

Jak dla mnie https tylko do logowania i rejestracji.

@adam-bojarski: dlaczego? W czym przeszkadza https wszędzie a nie tylko tam?

[adam-bojarski]

Chociażby w filtracji treści przez systemy proxy. Rozszycie ssl jest kosztowne.

[guestviewonlypl]

@adam-bojarski: złamanie wpa2 niby trochę zajmuje, ale WPS nadal często powłączany jest, więc czasem jednak nie zajmuje długo; ludzie korzystają też nieraz z otwartych hot-spotów; niby na wypoku nie ma wielkich tajemnic, ale może się zdarzyć, że ktoś na PW podsyła komuś swój adres/telefon czy inne dane, których nie chciałby upubliczniać, szyfrowanie jednak by się przydało; co prawda michau biadolił kiedyś, że https to zło, bo reklamy nie będą działać chciały,

[P.....k]

@Samuel_Hayden: tylko ze taki portal to kosztowny biznes a monetyzacja użytkowników słaba. Dlatego tez wydawania 20k na programistę a do tego jakiś admin, właściciel i ktoś tam jeszcze to ogromny koszt i mało się opłaca

[v.....z]

@guestviewonlypl:

ktoś na PW podsyła komuś swój adres/telefon czy inne dane, których nie chciałby upubliczniać

To jest właśnie sednem problemu. Z profilu użytkownika można przechwycić IP, email i PW, a to już bardzo dużo.

@adam-bojarski:
Można przechwycić dane profilowe, takie jak twoje IP, więc w przybliżeniu może ustalić, skąd się logujesz, czy adres e-mail, który często jest w formacie imie.nazwisko@~, a nawet jeśli nie, zawsze można go po prostu

[mario-zdk]

@paprok: ja bym blokował urzytkownikow w ten sposób

[kamillus]

@von_stirlitz: historycznie dostawienie ssl było problematyczne jeśli chodzi o kwestie wydajnościowe, stąd też stosowało się protokół https tylko do logowania i ewentualnie przesyłania formularzy, a content serwowało się po http. Mam wrażenie, że większość serwisów, które dotąd nie przeszły na https teraz czekają z migracją na wdrożenie od razu http/2, które szyfrowanie ma już w standardzie.

[v.....z]

Mam wrażenie, że większość serwisów, które dotąd nie przeszły na https teraz czekają z migracją na wdrożenie od razu http/2

@kamillus: Przypominam, że wykop dopiero wczoraj uniemożliwił bruteforce login forma.