Med sikkerhet i tankene

By Espen Andersson — 12. March 2006 02:08 — categorized in Generelt IT-stoff — 7 comments

De siste dagene har et nylig avdekket sikkerhetsproblem på FotoKnudsens kundesider skapt oppsikt i mediene. Kodesvakheten åpnet for at hvem som helst kunne få tilgang til andre kunders opplastede bilder – en selvfølgelig uheldig situasjon for begge parter.

Midt oppi det hele kommer det som alltid ulike uttalelser - de som prøver å forsvare seg og forklare hvordan dette problemet kunne skje og de som kritiserer FotoKnudsen for heller laber sikkerhet. Og er det ikke klassisk hvordan manglende kunnskap gjør saken, om mulig, enda mer pinlig?

I forrige uke ble det oppdaget et sikkerhetshull hos den populære tjenesten FotoKnudsen som har 400 000 kunder i sin digitale database, og 50 millioner bilder i album. Dette er en Internett-tjenestene som blant annet kan brukes til å lagre bilder, og bestille papirutgaver av bilder. Hullet gjorde det mulig for brukere å få tilgang til andres bilder i systemet.

Dette skriver programmer.no i sin omtale av saken. De vedlagte tallene gjør selvfølgelig at alt ser mye verre ut enn det er. Og selv om jeg personlig ikke har noen anelse om hvordan systemet er bygget opp i detalj, vet vi følgende ut i fra uttalelser fra vedkommende som oppdaget problemet og FotoKnudsen selv: Hver kunde har sin egen unike ID som vises i adresselinjen når de ulike albumene vises. Som så mye annet på nettet er adresselinjen noe som er åpent for redigering for hvem som helst og derfor må valideres tilstrekkelig. Og det er her det morsomme kommer inn og som gjør saken enda mer pinlig for de ansvarlige. Valideringen ble nemlig gjennomført slik som det var tenkt ved hjelp av Javascript! Alle med litt datakunnskaper vet at Javascript er client-side; det vil si at jeg som besøkende kan deaktivere støtten for dette i nettleseren min og på den måten omgå sikkerhetssjekken og dermed få tilgang til andre kunders album.

Dette er rett og slett en skrekkelig måte å validere innkommende informasjon på som lett kan manipuleres og viser rett og slett at FotoKnudsen bør få nettsidene sine sjekket av noen mer dyktige sikkerhetseksperter før de føler seg trygge. Jeg tør faktisk gå så langt som å påstå at det, teknisk sett, ville vært bedre om det ikke var noe validering i det hele tatt fremfor denne løsningen. Alle kan glemme seg og ikke validere input, men det er verre når man går for de lettvindte løsningene som ingen tjener på i lengden ...

Les også: http://itpro.no/art/8897.html.

Comments (7)

# By bxc – 12. March 2006 23:47

Stuseset og over dette. At en så stor bedrift som fotoknudsen bruker noen som er så dårlig på å programmere/scripte. Er jo 13-åringer på NWF som ville skjønt at å validere med js ikke er en så lur ting.

# By Emil Enevoldsen – 13. March 2006 06:12

Å validere en input med javascript må være noe av det latterligste jeg har vært med på. Utrolig skuffende at en bedrift med så mange kunder kan gjøre en så enormt stor feil.

# By Espen Andersson – 13. March 2006 09:41

Faktisk så tror jeg ikke de validerte input i det hele tatt. Slik jeg har forstått det ble et Javascript kjørt dersom man forsøkte å åpne en kundeside med en annen ID enn sin egen som forsøkte å lukke nettleservinudet. Ved å deaktivere Javascript ville man med andre ord kommet rett inn.

# By Alexander Krivács Schrøder – 18. March 2006 17:44

“Jeg tør faktisk gå så langt som å påstå at det, teknisk sett, ville vært bedre om det ikke var noe validering i det hele tatt fremfor denne løsningen.”

Nja, nja. Det stopper iallfall de dummeste brukerne, så å si at det er verre enn ingenting er jo ikke helt presist, eller hva?

# By Espen Andersson – 18. March 2006 17:46

Joda, men sjansen er stor for at vedkommende som snoker i systemet skjønner hva som skal til for å komme rundt når man først har skjønt hvordan systemet er bygget opp.

# By XSS dude – 7. July 2006 11:16

Denne feilen som ble oppdaget forteller oss at den som har laget systemet dems ikke har peiling på sikkerhet, med andre ord kan vi gå utifra at fotoknudsen nesten garantert har flere sikerherhetshull.

# By XSS dude – 7. July 2006 11:29

Jeg måtte nesten bare sjekke ut litt, fant ut at http://www.reaktor.no/ har laget cms til fotoknudsen.

[Fjernet av admin: Ikke bruk nettsiden min til å spre valideringsproblemer på andres nettsteder. Send de en e-post]

Write Comment

Om «Andersson Online»

Dette er Espen Anderssons lekeplass på Internett. Jeg studerer webkommunikasjon på NITH og arbeider deltid som systemutvikler for NordkappNett AS og webutvikler for Nexus Consulting AS. Bloggens hovedfokus er rettet mot kultur- og teknologirelaterte temaer, med hyppige avstikkere innom musikken og journalistikkens verden.