A tulajdonosok tudta, megbízási szerződés, felkérés NÉLKÜL weboldalak, IT rendszerek stb. biztonságát "tesztelni" ...

Titkosítás, biztonság, privát szféra

szoktam.
13% (42 szavazat)
nem szoktam.
67% (218 szavazat)
Egyéb (leírom).
3% (10 szavazat)
Csak az eredmény érdekel / Nem érdekel.
17% (57 szavazat)
Összes szavazat: 327

( lberes (nem ellenőrzött) | 2017. 07. 20., cs – 10:14 )

Mit jelent, hogy tesztelni? Tudatosan, rendszeresen, dokumentaltan probalkozni? Veletlenul egy webes url-ben egy vagy tobb karaktert elgepelni?

--
L

( uid_395 v | 2017. 07. 20., cs – 10:16 )

ami "alattam van" úgymond weboldal saját szerveren üzemeltetve, azt szoktam "tesztelni", illetve felhívni emberkét hogy valami gond van, frissítse, nézze át, stb.

Amúgy eszembe nem jutna egy random XY weboldalt tesztelgetni, a tököm se akar erre időt pazarolni :)

( dejo v | 2017. 07. 20., cs – 10:27 )

Ez felhívás keringőre?
Próbáljunk behatolni a hup.hu szerverére és számoljunk be róla a hwsw.hu-n? :D
Amúgy meg a fene foglakozik ilyesmivel. Főleg nem úgy hogy senki sem kért meg rá.

Gondolom a BKK ügy kapcsán merült fel a kérdés.
--
Tertilla; Tisztelem a botladozó embert és nem rokonszenvezem a tökéletessel! Hagyd már abba!; DropBox

( nxu | 2017. 07. 20., cs – 10:39 )

Tesztelje a halál, nem fizetnek érte. De azért ha egy ?is_admin=0 paramétert látok az URL-ben, azt csak átírom 1-re.

( tamaas | 2017. 07. 20., cs – 10:44 )

Csak nem meghatott a BKK bérlet ügy?

( uid_19334 | 2017. 07. 20., cs – 11:01 )

Az, ha úgy érzem hogy tesztelek az elég?

( Salcay v | 2017. 07. 20., cs – 11:34 )

A kéretlen tesztelők BKK változnak! :)

Ha a sajtót kihagyja a srác, még oké lett volna. Így nem.
Ugyanakkor, a T hozzáállását sem tudom támogatni. Sértett hisztis kamaszként reagálja le az ügyet, holott nem lenne nehéz jogosat és kellemetlent egyszerre kérdezni.
A T részéről súlyos hiba volt így kiengedni a cuccot, aztán nevetségessé válni a nyilvánvaló tagadásával, és hepciáskodással.
Srác részéről hiba volt a sajtót bevonni, és valódi identitással szólni a T-nek, holott sejtette, hogy baj lesz.

Ugyanakkor, ha nem szól, az öreg ördög tudja meddig rohadt volna a cucc ebben az állapotban, és mekkora gebasz lett volna belőle, ha egy blackhat találja meg, tele adattal!

Jelen helyzetben szerintem a T a saját image-ét rombolja, akármit lép. Ha egy felhasználó kritikus hibát jelent be, PoC-t is ad mellé, és erre a cég pereskedéssel reagál, akkor az nem tűnik pozitív üzenetnek, semmiképp sem modernnek, profinak, vagy innovatívnak. Ha pedig saját korábbi kijekentésével megy szembe, az sem tesz neki jót, bár ezt már most megtette.

--
Where do you want to go today?
[nobody@salcay:~]$_

> Ha a sajtót kihagyja a srác, még oké lett volna

mondjuk én láttam a másik srác (aki a személyes adatok kiszedhetőek dolgot találta) FB posztját, meg alatta a kommentjeit.
Ő azután fordult az egyetemi csoporthoz, hogy:
- írt egy levelet, részletes PoCcal péntek délután 4-kor a BKK-nak
- majd többször próbált telefonon kompetens emberrel beszélni (lehet tippelni, hányszor sikerült)
- majd azt mondta, hogy ha 24 óráig nem reagál senki, akkor ír a sajtónak, PoC nélkül, csak hogy van ilyen hiba.

Olyan szempontból megértem a dilemmáját, hogyha tényleg kiszedhető volt bárki minden személyes adata, akkor erre hétfőig nem valószínű, hogy csak ő jön rá. a BKK meg állítása szerint nem volt a legsegítőkészebb.
--
blogom

"péntek délután 4-kor a BKK-nak"

Szerinted ki a lótosz - nem hogy kompetens ember - van bent ennél a szerv-nél péntek délután? Hétfő reggelig kb senki sincs ott, ha csak nem tereget a sajtó.
Nem sározva emberünket, de lehet jobb lett volna várni hétfőig, akkor próbálkozni, addig meg nem riadóláncban adni az infót, mert úgy általában nem vagyok biztos benne, hogy minden hekker pont a bkk-t akarja daszogatni a hétvégén, bár ezt a fajta perverziót hétközben sem végezném, de ez én vagyok. :D

( norbertkiss | 2017. 07. 20., cs – 12:04 )

Már kinőttem abból a korból, de régebben "teszteltem" minde félét, ami szembe jött és gyanús volt. Ma már csak akkor, ha megfizetik :-)

( freeoli v | 2017. 07. 20., cs – 14:07 )

Leírom. Kakilok más kakijára, ingyen, de mást nem teszek.

( gergov | 2017. 07. 21., p – 08:48 )

Volt már olyan, hogy véletlenül megláttam valamit egy belső hálós szerveren, és rápróbáltam, hogy tényleg csinálja-e, amire én gondolok. Aztán szóltam az üzemeltetőnek, hogy ez így nem oké. Megköszönte, javította. Szándékosan sosem kerestem.
Megnézve a feljebb linkelt facebook profilt, illetve az RTL riportját és a bkk-s reakciót, egyértelmű, hogy a srácban is csak a kíváncsiság volt benne, a hibát azonnal jelentette, nem élt vissza vele. Ennek ellenére a vérét kívánják, mert "beégette" őket. Szánalmas.
Ha ez nem kifejezetten BKK reakció, hanem általánossá válik, akkor kialakul, hogy ha valaki talál valamit, majd nem szól (esetleg el is adja a feketepiacon), aztán lehet pislogni, amikor valaki ténylegesen kihasználja ezeket a könnyen felfedezhető réseket.

Ment erről tumblr-en egy thread. Arra jutottak, hogy aki az etikus hackereket feljelenti, megérdemli, hogy egy black hat szétszedje a rendszerét. Általános elveim ellenére nem tudtam ellentmondani. :(
--
"Always code as if the guy who ends up maintaining your code will be a violent psychopath who knows where you live." John F. Woods

( zrubi v | 2017. 07. 21., p – 10:01 )

Sajnos ez a hozzáállás teljesen általános azoknál a cégeknél, akik inkább költenek jogászhadseregre, mint VALÓDI biztonsági megoldásokra.

Oh wait....

--
zrubi.hu

Regen ez nem volt igy legalabbis a T mas csoportjainal.

Volt par hibank elesben (szerzodes utan ha atirtad a dokumentum szamat az URL-ben akkor lathattad az elotted megkotott ugyfel csomag adatait mint nev cim etc) meg is koszontuk a ugyfelnek aki jelentette. Volt olyan amiben a szerzodesi felteteleket lehetett atirni olyanra amire akartad azt is javitottak hamar es megkoszontuk. Mi meg nem azzal voltunk elfoglalva, hogy a szart kenjuk masra hanem probaltuk rendben tartani az appokat amik hozzank tartoztak. De hat az idok valtoznak sajnos...

Jó eséllyel most sincs ez másként ott se és máshol se.

Csak akkor ugye, amikor a vezetőséghez jut az infó - már jól sajtósan tálalva - nekik kell valami lózungot bedobni - hozzáértés híján. Túlbuzgóság, arccal párosodva, szakértői-, jogi- vélemény kikérve, hibát még csak véletlenül se elismerve. Olyan jó politikus módjára ;)

( Mico v | 2017. 07. 22., szo – 20:36 )

Van egy érdekes kérdés, ami többször felmerült hivatalos munkákkal kapcsolatban, mégpedig az, hogy az efféle tevékenység a BTK hatálya alá esik, hivatalból büntetendő. Le lehet úgy papírozni egy etikus munkát a megrendelővel, hogy ez ne okozzon problémát, de nem mindig sikerül (én vagyok a kis hal többnyire, és igazából még sosem sikerült úgy papírozni, ahogy kellene) és úgy hallom, máshol is inkább bizalmi alapon mennek a dolgok, de _elméletileg_ ez akkor is egy BTK-s bűncselekmény, különös tekintettel a "hekkelést" megkönnyítő programokra, adatok "készítésére, megszerzésére, stb.". BTK-s bűncselekmény elkövetésére nem lehet szerződni, ahogy gyilkosságot sem követhetsz el, ha valaki téged kifejezetten felkér, hogy ásd el (tudom, durva a kontraszt, de ugyanaz).
A jelenlévő szakmabeliek hogyan papírozzák ezt, persze amennyire nem titok?
Lehet, hogy hülyeség, csak azért foglalkoztat a dolog, mert voltam már btk 300/c miatt bilincsben egy, a BKK-s ügynél is nagyobb baromság miatt.

( kisszol | 2017. 07. 24., h – 15:53 )

Hát néha megnézem egy cucc mennyire biztonságos.
Múltkor egy csilli-villi weblap be akarta kérni az adataimat.
Gyanús volt hát megnéztem és a bekért adatokat egy CSV fájlban tárolta, amiben benne volt
az email cím
a jelszó,
és a opcionálisan megadható havi fizetés is.
Ne töltöttem ki a regisztrációs űrlapot.