mboost-dp1

newz.dk

Dårlig sikkerhed gav adgang til 250.000 elevers oplysninger

- Via Version2 - , redigeret af Net_Srak , indsendt af kastrup

At lave en blå bog er ikke noget nyt, og fænomenet er også for længst rykket ind på nettet, hvor firmaet C L Seifert, via hjemmesiden blaabog.com, tilbyder at lave de blå bøger for studerende i Danmark.

Via hjemmesiden kan elever skrive om hinanden, og der bliver ikke altid holdt tilbage, hvilket kan blive til mange sjove, men ofte også pinlige historier.

Hos Version 2 har de talt med en HTX-elev, som ville anvende hjemmesiden. Han opdagede dog, at sikkerheden bag siden var meget dårligt. Således var det blot at ændre et id-nummer for at kunne læse om andre personer end dem fra sin egen klasse.

Helt galt gik det, da han prøvede samme trick, men uden at være logget ind – det ændrede ikke på noget, han kunne stadig hente data. Via et mindre program lavet på fem minutter kunne han systematisk hente de mange oplysninger, som ud over beskrivelser også indeholder adresser, e-mail og telefonnumre.

Rystet over sin opdagelse henvendte HTX-eleven sig til firmaet, men modtog aldrig noget svar. Det lykkedes til gengæld Version 2 at få fat i dem, og her oplyser direktøren, at der må have været tale om et midlertidigt hul, og fejlen nu er rettet.





Gå til bund
Gravatar #1 - el_barto
7. mar. 2011 09:12
"der må have været tale om et midlertidigt hul"

...OMFG...
Gravatar #2 - TuxDK
7. mar. 2011 09:15
#1

Ja, det er åbenbart et midlertidigt hul at deres udviklere "glemmer" at indføre basisk validering....

Hele deres stab skulle fyres imo.
Gravatar #3 - nielsbuus
7. mar. 2011 09:17
el_barto (1) skrev:
"der må have været tale om et midlertidigt hul"

...OMFG...

der må være tale om en midlertidig direktør.
Gravatar #4 - Erroneus
7. mar. 2011 09:22
Det er jo en åbenlys sag for Datatilsynet det her. De skal have en kindhest så stor C L Seifert, at de aldrig laver sådan en fejl igen.
Gravatar #5 - fidomuh
7. mar. 2011 09:24
#4

Er det ikke bare at blackliste dem fra at byde ind paa offentlige loesninger ever again ? :D
Gravatar #6 - binderup
7. mar. 2011 09:24
Midlertidig hul... ja ja nu er tid jo relativ jfr. relativitetsteorien :-)
Gravatar #7 - RobseRob
7. mar. 2011 09:28
Wow, kan det undre med den visuelle præsentation siden har? Det ligner noget en 10 årig har lavet.
Gravatar #8 - Monroc
7. mar. 2011 09:34
#7

Jeg gik først ind på blaabog.dk, og kunne ikke forstå, du syntes, det var så slemt. Men fandt så den rigtige adresse frem i stedet, og du har ret - det er en ektraordinært hæslig side.

#topic

Er C L Seifert ikke dem, der også laver huer til studerende osv., og derfor har mere eller mindre monopol på alt det fis der? Måske de skulle have valgt en anden løsning end at betale naboens knægt en 500kr.-seddel for at hamre noget kode sammen..
Gravatar #9 - fmads
7. mar. 2011 09:35
RobseRob (7) skrev:
Wow, kan det undre med den visuelle præsentation siden har? Det ligner noget en 10 årig har lavet.

Jeg tænkte præcis det samme, og alene overskriften her på newz fik mig til at sige "Hvad sagde jeg"..
Og midlertidigt sikkerhedshul - wtf?! Det der er en systemfejl direkte ned i programmeringen.. Utroligt sådan noget kan lade sig gøre i dagens danmark
Gravatar #10 - Kolklik
7. mar. 2011 09:36
Det er sku pinligt det der...
Gravatar #11 - Jim Night
7. mar. 2011 09:37
Sikkerhedshuller er da forhåbentlig altid midlertidige...
Gravatar #12 - nielsbuus
7. mar. 2011 09:45
Sovsen på blaabog.com er hysterisk/historisk morsom.

Der er javascript der undersøger om brugeren kører IE3, IE4 eller IE5. Om Mac-brugere har 68k eller PowerPC CPU'er (førstnævnte har ikke været tilfældet siden starten af 1990'erne) og om brugeren kører Windows 3.11 eller Windows 95. Der er sågar instruktioner for folk der bruger AOL browseren. (Dem må der være mange af blandt danske gymnasieelever!!!).

Source: http://www.blaabog.com/Login_da.asp
Gravatar #13 - HenrikH
7. mar. 2011 09:51
TuxDK (2) skrev:
Ja, det er åbenbart et midlertidigt hul at deres udviklere "glemmer" at indføre basisk validering....

Hele deres stab skulle fyres imo.

Nej da, de burde dyppes i syre. Det vil da være mere passende >_<
Gravatar #14 - mfriis
7. mar. 2011 10:17
Nu aner jeg intet om deres organisation, hvor mange der arbejder på det osv.

MEN!

At deres design er lame siger INTET om koden bag ved. Det er to vidt forskellige kompetencer. Jeg kan trylle noget funktionalitet ud som min kollega ikke kunne drømme om og omvendt så kan han lave et design jeg kun ville kunne nakke fra et andet website.

Deres design siger intet om sikkerheden og kan aldrig bruges som en refference på hvor høj kvalitet projektets kode har.

Ydermere så vil man på størrer teams (selv bare 5-6 mand) inden for konsulent branchen stå med en projekt leder der giver ordre til at visse ting skal prioriteres højere end andre samt kontant bestemme at en feature er færdig og man skal lave noget andet. I de tilfælde har man som udvikler kun det ansvar at man skal informere om mangler. Det er projektlederen der nu står med ansvaret videre ud. Han kan så informere kunden om manglen hvilket så ligger ansvaret videre på ham. Vælger kunden at ignorere det til fordel for noget andet så er det hverken projektlederen eller udviklerens ansvar at der er en given mangel.

Vi aner ikke hvad der er foregået så at kaste mudder på nogen der måske bare har udført deres "ordrer" er simpelthen for lavt.

So fucking what om de har et copy paste script der tjekker browser version. Det kan lige så godt være noget der er bagt ind af et framework eller lign.

blaabog.com har et problem over for de studerende og data tilsynet. Men uden at kende fakta omkring udviklingen har vi intet at klantre ham/de der har stået for sitets udvikling. Hvis man er låst på tid og penge er der kun kvalitet at skrue på.
Gravatar #15 - Wickedmike
7. mar. 2011 10:23
mFriis (14) skrev:
Vi aner ikke hvad der er foregået så at kaste mudder på nogen der måske bare har udført deres "ordrer" er simpelthen for lavt.


Så må vi jo bare kaste mudder på ham der har givet ordre til tingene.

Men det ændrer jo stadigvæk ikke ved at sikkerheden er så ussel som den kan blive.

Bare fordi man prioritere andre ting højere gør det jo ikke rigtigt.
Hvis jeg skulle prioritere noget, ville jeg da helt klart prioritere sikkerhed højest af alt.

Skid være med designet hvis det virker.
Så at sige der intet er at klandre dem for, synes jeg er forkert at sige, da de jo åbenbart ikke har gjort tingene ordenligt.
Gravatar #16 - martink
7. mar. 2011 10:53
Ville lige ind og se hvad det var for en side, men blev mødt af

You are not authorized to view this page
...
HTTP 403.6 - Forbidden: IP address rejected
Internet Information Services
...


Så måtte jeg bare lære det.
Gravatar #17 - Cervio
7. mar. 2011 10:53
#16 samme problem stødte jeg på.
Gravatar #18 - Erixxxx
7. mar. 2011 10:56
#16 Samme her, kan heller ikke komme ind på den.
Gravatar #19 - Keeper32
7. mar. 2011 10:59
Siden var måske også midlertidig =-)
Gravatar #20 - el_barto
7. mar. 2011 11:01
mFriis (14) skrev:

At deres design er lame siger INTET om koden bag ved. Det er to vidt forskellige kompetencer. Jeg kan trylle noget funktionalitet ud som min kollega ikke kunne drømme om og omvendt så kan han lave et design jeg kun ville kunne nakke fra et andet website.


For det meste er det første indtryk det korrekte. Stol på dit instinkt. Men det er måske dig der har kodet det?

;)
Gravatar #21 - Makey
7. mar. 2011 11:43
Det kunne man da også da jeg skulle have lavet blå bog, lærerne kom til sidst ind over og måtte bede klasserne om at holde op med at ændre i hinandens ellers vankede der.
Midlertidig fejl? Det er efterhånden mere end et år siden, og folk snakkede da om at man også kunne året før (hvor de havde fået ideen fra).
Gravatar #22 - DonMartini
7. mar. 2011 11:49
Fedt at vide, at vi har skulle bruge det system til vores blå bog.
Anyways, min mail og min adresse kan alligevel slås op på Krak osv, så jeg overlever nok.

Men C. L. Seifert tjener sku' godt på alle de huer osv. som de sælger. En Blå Bog fra dem koster vist 150 kr., så kan man vel også forlange, at kvaliteten af deres side er bare lidt bedre.
Gravatar #23 - BlackFalcon
7. mar. 2011 12:11
@21
Har du ikke nogle beviser fra den tid, der kan bekræfte det? For det ville være sjovt at få Version 2 til konfrontere firmaet med det. Jeg køber som så mange andre heller ikke den med at det var en midlertidig fejl. En ting er at de har fucked up, men skal ikke gå ud og dække over det med en løgn.
Gravatar #24 - Makey
7. mar. 2011 15:45
@23
Har ikke nogle screenshots eller noget, det var ikke relevant eller noget jeg havde tænkt videre over på det tidspunkt, og har ikke længere adgang til de emails med login informationer fra dengang, da det kørte over skolens email (IBC Fredericia-Middelfart), som de har slettet.
Det sjove lå mere i at ændre de andres blå bøger end at bruge alle informationerne til noget. Hvilket var nemt, udskift ID (som man kan gætte sig frem til at finde på klasselisterne der lå frit fremme) med de andre klassers og så ellers lege lidt rundt.
Gravatar #25 - Dr_Mo
7. mar. 2011 16:59
mFriis (14) skrev:
Vi aner ikke hvad der er foregået så at kaste mudder på nogen der måske bare har udført deres "ordrer" er simpelthen for lavt

Læs nyheden hvis du er i tvivl om hvad der har foregået? Det der er foregået er: Dårlig sikkerhed gav adgang til 250.000 elevers oplysninger. Mudderkastning er på sin plads?

mFriis (14) skrev:
Men uden at kende fakta omkring udviklingen har vi intet at klantre ham/de der har stået for sitets udvikling. Hvis man er låst på tid og penge er der kun kvalitet at skrue på.

Så fordi du havde travlt den ene dag, så var det i orden at køre med 200 km/t og sætte andre i fare? Hvis man er låst på tid, så er det vel kun farten at skrue på?
Gravatar #26 - mfriis
8. mar. 2011 07:55
#25 De der har ansvaret for fadæsen skal naturligvis have det "Mudder" der tilkommer dem. Det lyder bare ikke til på debat deltagerne herinde at de helt ved hvem det er. Jeg tror næppe det er udvikleren der står med skylden.

Din bil analogi fungerer ikke da den ikke tager højde for hverken en kunde, en projekt leder eller en udvikler. Den tager kun højde for at 1 person udvikler og har ansvaret for det. Sådan fungerer udviklingsopgaver tæt på aldrig med mindre du laver en "hjemmeside for Hansen VVS".

Skal der en analogi på banen så lad det være et damplokomotiv. Kunden er togets ejer, eleverne er passagerene, projektlederen er lokomitv fører og udvikleren skovler kul.

Vil du virkelig klantre kulskovleren for at toget kører af sporet hvis togets ejer beordrer lokomitv fører til at give den gas, og han beder skovleren hælde mere kul på? Det eneste man kan gøre er at ytre sine bekymringer til nærmeste leder og skovle videre.
Gravatar #27 - reefermadness  
8. mar. 2011 08:12
#26 - Udvikleren burde vide at han / hun skulle tjekke om der var rettigheder til at vise den gældende ressource..

du opfører dig som om at det er din egen røv du sidder og forsvarer ?
Gravatar #28 - reefermadness  
8. mar. 2011 08:53
Desuden så skulle den udvikler da fyres på stedet, ved ikke om du har kigget på kildekoden, men jeg fik mig da et billigt grin over <div> tags og andet markup før <html> tagget, manglende doctype, sql injection sårbarheder, javascript der ligner løgn, osv osv..
Gå til top

Opret dig som bruger i dag

Det er gratis, og du binder dig ikke til noget.

Når du er oprettet som bruger, får du adgang til en lang række af sidens andre muligheder, såsom at udforme siden efter eget ønske og deltage i diskussionerne.

Opret Bruger Login