Új hozzászólás Aktív témák

• #12 azbest félisten Csóró™ #8

  Új Válasz 2017-02-25 12:24:39 #12

  Új hozzászólás

  Összes hozzászólása itt Válaszok az összes hozzászólására itt Válaszok erre a hozzászólásra

  Privát üzenet küldése

  

  azbest

  félisten

  válasz Csóró™ #8 üzenetére

  A bibi az, hogy ha valaki segítő szándékkal "tör be" valahová és jelzi az hibát az üzemeltetőnek, akkor őt jelenthetik fel és meg is van a törvényi alapja annak, hogy megbüntessék. A betörést azért tettem idézőjelbe, mert kb már az url átírása is annak számít, pl ha belépett usernek nem ellenőrzik tovább a jogosultságát, hanem simán az url-ben lévő szám átírásával megmutatják a másik ügyfél dolgait*.

  Ráadásul, már egy ilyen hiba kéretlen bejelentése is anyagi kárt okoz a cégnek, mivel ha nem sumákolják el, akkor a hiba meglétének ismeretével el is vesztik a plecsnit, amit drága pénzen vettek az oldal biztonságosságáról. Szóval a bejelentő a hibás jogilag, azért mert az auditálás és az üzemeltetés csak a látszatra ad, nem a biztonságra. Hogy ne történjen gyakran ilyen lebukás, inkább elrettentik az embereket a hiba jelentésétől. Maga a bejutás ténye már önmagában a rendszer kompromitálódását jelenti, szóval ezt máris kárnak veszik és ráverhetik a bejelentőre.

  2013: Botrány: vagy feltörték a szabadalmi hivatal szerverét, vagy nem [link] [link]
  Nem tudom, ennek például mi lett a vége.

  Az már a ló túlsó oldala, ha valaki kéretlen auditorként nem triviális hibák sorozatának segítségével néz be valahová, hogy megmutassa. Azt már jogosan vehetik valódi támadásnak. Főleg, ha még módosít is a rendszeren.

  *: Már legalább három esetben nekem is sikerült belefutnom banális hibákba, amelyet jeleztem is az üzemeltetőnek. Enyhítő körülmény, hogy vagy ügyfelük voltam vagy éppen velük, a rendszerükkel dolgoztam valamin, így gondoltam csak nem jelentenek fel azért, mert hibát találtam. Bár a legkeményebb talán az volt, amikor a kollégák mesélték az egyik szita rendszerről, hogy évekig aktív volt rajta egy teszt felhasználó, kb minden jogosultsággal és nagyon könnyen kitalálható azonosító-jelszó párral. Szóval vannak problémák.

  [ Szerkesztve ]

Új hozzászólás Aktív témák