9 hours ago
Ovo je naizgled ozbiljan propust koji bi omogućio pristup nalogu koji koristi eID bez ikakve potvrde u samoj ConsentID aplikaciji ali nisam mogao nezavisno da potvrdim i nemam dovoljno podataka da bi mogao sa sigurnošću da kažem da je ovo globalni problem sa svim nalozima na ePorezi ili je došlo do nekog problema samo sa pogođenim nalogom. Po običaju imamo nula obaveštenja od same institucije povodom ovog slučaja.
Osoba koja mi je ovo poslala je opisala sledeće korake koji su doveli do ulaska na nalog bez autentifikacije:
Kako javlja, ni u jednom trenutku ovog procesa nije se pojavila potvrda u ConsentID aplikaciji da bi se odobrio pristup nalogu već je posle navedenih koraka prikazan nalog bez ikakve autentifikacije.
Kako je izgledala stranica greške:
Video snimak gore opisanog postupka možete pogledati ovde na mreži X : https://x.com/BezbedanBalkan/status/2118636431065391552
Problem je 01.10.2026 prijavljen nacionalnom CERT-u i Kancelariji za IT i eUpravu uz niz pitanja vezanih za ovaj problem i zahtev da se na njih i odgovori. Problem su rešili otprilike nedelju dana kasnije a sada već više od mesec dana posle prijave nisu odgovorili na taj mejl niti se javno oglasili povodom ovog navodnog propusta.
Pošto po običaju nemamo nikakvu povratnu informaciju od predmetne institucije, mogu samo da pretpostavim najgore a to je da je u pitanju propust koji pod određenim uslovima može dovesti do kompromitacije svakog eID naloga koji koristi ConsentID na ePorezi, a potencijalno i na drugim državnim sajtovima koji koriste eID za pristup.
Nadam se da uskoro dolazi kraj netransparentnosti i ćutanju Kancelarite za IT i eUpravu o otkrivenim propustima i problemima sa sistemima za koje su nadležni a koje svi građani porezima finansiramo.
Osoba koja mi je ovo poslala je opisala sledeće korake koji su doveli do ulaska na nalog bez autentifikacije:
Quote:1. Na portalu ePorezi izabrala sam opciju „Pristup putem eID naloga“.
2. Na stranici za elektronsku identifikaciju unela sam svoju adresu elektronske pošte kao korisničko ime.
3. Nakon pokušaja prijave prikazana mi je poruka:
„Pogrešna konfiguracija!
Došlo je do greške tokom postupka autentikacije. Molimo kontaktirajte administratora identiteta.“
4. Klikom na dugme „Nazad“ vraćena sam na prethodnu stranicu, na kojoj je u polju za korisničko ime i dalje bila prikazana prethodno uneta
adresa elektronske pošte.
5. Na istoj stranici ponovo sam kliknula na dugme „Prijavite se“.
6. Prilikom ponovnog pokušaja nisam primila novi zahtev za potvrdu prijave u aplikaciji ConsentID, ali mi je omogućen pristup mom korisničkom
nalogu na portalu ePorezi.
Kako javlja, ni u jednom trenutku ovog procesa nije se pojavila potvrda u ConsentID aplikaciji da bi se odobrio pristup nalogu već je posle navedenih koraka prikazan nalog bez ikakve autentifikacije.
Kako je izgledala stranica greške:
Video snimak gore opisanog postupka možete pogledati ovde na mreži X : https://x.com/BezbedanBalkan/status/2118636431065391552
Problem je 01.10.2026 prijavljen nacionalnom CERT-u i Kancelariji za IT i eUpravu uz niz pitanja vezanih za ovaj problem i zahtev da se na njih i odgovori. Problem su rešili otprilike nedelju dana kasnije a sada već više od mesec dana posle prijave nisu odgovorili na taj mejl niti se javno oglasili povodom ovog navodnog propusta.
Pošto po običaju nemamo nikakvu povratnu informaciju od predmetne institucije, mogu samo da pretpostavim najgore a to je da je u pitanju propust koji pod određenim uslovima može dovesti do kompromitacije svakog eID naloga koji koristi ConsentID na ePorezi, a potencijalno i na drugim državnim sajtovima koji koriste eID za pristup.
Nadam se da uskoro dolazi kraj netransparentnosti i ćutanju Kancelarite za IT i eUpravu o otkrivenim propustima i problemima sa sistemima za koje su nadležni a koje svi građani porezima finansiramo.