|
SrbijaVoz.rs curenje podataka!
|
Upravo smo dobili prijavu zabrinutog građanina. Slučajno je otkrio da aplikacija za kupovinu karata na SrbijaVoz.rs otkriva lične podatke građana. Moguće je pristupiti podacima bez ikakve autorizacije.
“If you think you are too small to make a difference, try sleeping with a mosquito.” - Dalai Lama XIV
11-27-2023, 11:04 AM
Obavešteni su:
“If you think you are too small to make a difference, try sleeping with a mosquito.” - Dalai Lama XIV
11-27-2023, 12:01 PM
(This post was last modified: 11-30-2023, 07:21 AM by 1van.
Edit Reason: Ubačeni detalji.
)
Javio se Poverenik:
I po prvi put Nacionalni CERT je tražio detalje: Poslao sam detalje koje sam dobio od zabrinutog građanina.
“If you think you are too small to make a difference, try sleeping with a mosquito.” - Dalai Lama XIV
11-27-2023, 04:00 PM
Dodati odmah i ostale probleme
Srbija Voz - šifra od maksimalno 8 karaktera Srbija Voz sajt skraćuje šifru pri unosu - verovatno čuvaju šifre kao plaintext Bezbednost terminala za kupovinu karata na železničkim stanicama Ovo sve deluje kao sistemski loše urađen projekat, ovde nije od početka razmišljano o sigurnosti a to se teško naknadno ispravlja
11-29-2023, 10:25 AM
Poverenik traži dopunu:
Poslao sam detalje koje sam dobio od zabrinutog građanina.
“If you think you are too small to make a difference, try sleeping with a mosquito.” - Dalai Lama XIV
12-01-2023, 09:32 AM
Nacionalni CERT se zahvaljuje i obaveštava da je propust ispravljen.
“If you think you are too small to make a difference, try sleeping with a mosquito.” - Dalai Lama XIV
12-01-2023, 01:56 PM
Sledeći logički korak koji očekujemo je da Poverenik sprovede nadzor i utvrdi do kolike štete je došlo, tj. da li je i koliko neko zlonamerno iskoristio ovaj propust. Verujem da se ovo može utvrditi lako pregledom web/proxy server logova (ali i na drugim mestima).
Dalje ovo sigurno nije sistem izrađen po preporukama industrije, a neko je dozvolio da bude pušten u rad. Siguran sam da dolazi do kršenja i nekih delova zakona o informacionoj bezbednosti, jer ovo je sistem od posebnog značaja.
“If you think you are too small to make a difference, try sleeping with a mosquito.” - Dalai Lama XIV
12-01-2023, 09:02 PM
(This post was last modified: 12-01-2023, 09:03 PM by 1van.
Edit Reason: Typo.
)
Dobili smo poruku od drugog zabrinutog građanina da sistem Srbijavoz i dalje otkriva neke potencijalno osetljive podatke o sistemu (ne direktno podatke građana kao u prethodnom slučaju, ali to ne znači da ne može biti iskorišćeno u te svrhe). U pitanju je API dokumentacija.
Po svemu sudeći ovaj sistem zahteva pod hitno reviziju bezbednosti! Obavešten je Nacionalni CERT.
“If you think you are too small to make a difference, try sleeping with a mosquito.” - Dalai Lama XIV
12-12-2023, 10:55 AM
Dobili smo odgovor Poverenika, kaže nema frke, kad su oni gledali sve je bilo OK, rukovalac im prijavio u roku od tri dana od kada smo mi objavili, a ovo od pre to niko nije prijavio i to ne postoji (a logovi?).
“If you think you are too small to make a difference, try sleeping with a mosquito.” - Dalai Lama XIV
|
|
« Next Oldest | Next Newest »
|
