Vodafone a ČD: bezpečnost až na posledním místě?
Kolem bezpečnosti na Internetu se už promluvilo a propsalo mnohé. Každý ví, že by neměl používat jednoduchá slovníková hesla, že by neměl používat jedno heslo pro více služeb (od toho tu máme MojeID, popřípadě SuperGenPass) a že by si neměl hesla nikam poznamenávat. Běžný uživatel obvykle nad takovýmito poučkami mávne rukou a dál se chová nebezpečně. Když se však tak chovají i profesionálové na druhém konci drátu, je to na pováženou.
Můj příběh začíná u e-shopu Českých Drah. V korelaci s výjezdem žlutých vlaků se e-shop majoritního dopravce také proměnil a je konečně schopen v zadané relaci sám doporučit takovou nabídku, která je pro cestujícího nejvýhodnější. Pro častější zákazníky nabízí i registraci, kdy je možné si do „profilu“ uložit například číslo In-karty.
A tady nastává potíž. E-shop obsahuje také odkaz Moje In-karta, kterýžto vizuálně působí dojmem, že patří do e-shopu. Bohužel, ve skutečnosti jde zřejmě o zcela oddělené webové aplikace, které mezi sebou nic nesdílí. Pro přihlášení In-karty je třeba zadat její číslo a heslo. Číslo se zadává do oddělených políček, které sice jsou svázány pomocí JavaScriptu, i tak ale efektivně brání použití automatického doplnění, či vložení ze schránky.
S heslem je to ještě mnohem horší. Úvodní heslo dostanete spolu s In-kartou na blanketu klasické „modré jízdenky“. Po přihlášení jej můžete změnit, je však třeba zachovat formát xxx####, kde x je písmeno bez diakritiky a # je číslice. Takové striktní požadavky na heslo mají v případě mé osoby jasný důsledek:
Při každém použití používám funkci pro obnovení zapomenutého hesla.
Už to samo o sobě určitě není správné, ještě horší to je, když zjistíte, že při obnově nedochází k vygenerování nového hesla, pouze vám e-mailem přijde vaše platné aktuální heslo! A to bez jakéhokoli zabezpečení. Ano, i na konci roku 2011 jsme stále tam, kde jsme byli v roce 1997, kdy jsem začínal s Internetem. Heslo mají v databázi uloženo v otevřené podobě, dostane se k němu jak každý legitimní správce, tak i ten, kdo se správcem stane zneužitím nějaké díry v softwaru.
Vodafone phishing stále v provozu
Když už vlastníte In-kartu, můžete si na stránce cdbonus.vodafone.cz zařídit tarif pro volání z mobilního telefonu s výraznou slevou (což není problém vzhledem k obecně známým předraženým ceníkovým cenám našich operátorů). Na webové stránce vyplníte formulář, po jehož odeslání se skoro nic nestane, jen v e-mailové schránce objevíte poněkud zvláštní zprávu:
From: nabidka.cd-bonus@vodafone.com Subject: Zamestnanecka nabidka - potvrzeni objednavky Dobrý den, vaše objednávka byla úspěšně přijata. Děkujeme Váš Vodafone
O pár dnů později mi volá jakási paní z čísla +420777352nnn s tím, že by se mnou ráda vyřídila převod tarifu na nový zvýhodněný. Tohle číslo, jak jsem později zjistil, najdete na firmy.cz u jakési živnostnice v oboru cestovního ruchu z Bystřice pod Pernštejnem. A hned první otázka: „Vaše heslo pro komunikaci s operátorem?“
WTF? Tohle už se zde, na blozích roota, řešilo v roce 2008. Přesto Vodafone své zaměstnance stále nepoučil a jejich prostřednictvím vyzývá své klienty k nebezpečnému chování.
Když jsem se ohradil, že nevím, kdo mi volá, začala paní na druhém konci říkat, že pokud chci mít jistotu, nechť si zavolám na klasickou zákaznickou linku *077 a vyřídím to s nimi. Ale ujistila mě, že všechno vidí, moje jméno, tarify, které jsem zvolil i číslo In-karty. Nakonec jsem se tedy rozhodl, že provedu autorizaci pomocí čísla In-karty. Ta proběhla v pořádku, tak jsem heslo prozradil a hovor úspěšně dokončil. Vzhledem k tomu, že po hovoru se s mým zákaznickým účtem začalo něco dít (některé služby se deaktivovaly, jiné aktivovaly), je velmi pravděpodobné, že hovor skutečně byl legitimní, nejednalo se o žádný phishing.
Ani v případě, že o identitě protistrany není pochyb, se mi však nezdá korektní požadovat při telefonickém spojení celé heslo. Například Komerční Banka při ověřování hesla vyžaduje pouze dva náhodně vybrané znaky z hesla, takže není možné heslo zjistit jednorázovým odposlechem.
Zlepší se to někdy? Zrovna velké společnosti by měly v bezpečnosti jít příkladem. Jak je ale vidět, spíše opak je pravdou.
Vše z Blog Root.cz