Die schlimmste Sicherheitslücke, die Sie je gesehen haben?

Question

Was ist die schlimmste Sicherheitslücke, die Sie je gesehen haben? Es ist wahrscheinlich eine gute Idee, die Details zu begrenzen, um die Schuldigen zu schützen.

Hier ein kleiner Einblick in die Frage was zu tun ist, wenn man eine Sicherheitslücke findet, und eine andere mit einigen nützlichen Antworten, wenn ein Unternehmen (scheinbar) nicht antwortet.

Answer 1

Wir hatten einen Kunden, der eine automatische Anmeldung auf der Grundlage bestimmter HTTP-Referrer verlangte. Sie und ich müssen sich also anmelden, aber wenn Sie auf einen Link von einer bestimmten Website geklickt haben, werden Sie automatisch unter einem Standardbenutzer angemeldet.

Answer 2

Ich war auf einer kostenpflichtigen Website für Autohändler, die viel Geld für eine Mitgliedschaft verlangt. Ich habe einfach "Test" als Benutzernamen und "Test1" als Passwort eingegeben. Ich war drin.

Answer 3

Es handelt sich nicht um eine Sicherheitslücke, sondern um die Schande eines Unternehmens, das seine eigenen Produkte als hochsicher vermarktet (und das ist eines seiner Hauptmerkmale).

Es geht um die "sichere Anmeldung" auf den Seiten für die Partner. Und so geht es:

Beim ersten Mal hat man das Passwort im Klartext per E-Mail bekommen und wenn man sich einloggt, liest man natürlich nicht das Blabla auf dem ersten Bildschirm, sondern sucht einfach, wonach man sucht (Dokument oder Software) und loggt sich dann aus.

Aber hier ist der Trick, das nächste Mal, wenn Sie versuchen, sich einzuloggen, funktioniert Ihr Passwort nicht mehr, weil Sie ein neues Passwort haben sollten, das sie jedes Mal auf der Website unter Ihrem persönlichen Profil veröffentlichen. Nach dem Austausch einiger E-Mails schickten sie mir (per E-Mail) eine Liste mit ca. 30 aufgezählten Einmal-Passwörtern, die ich jeweils nur einmal verwenden kann (ich brauchte eine Woche und einige E-Mails, um diese Liste neu auszuhandeln).

Also druckte ich diese Liste von Passwörtern aus, klebte sie an die Wand vor meinem Schreibtisch und schwärzte jedes Mal ein Passwort mit einem Stift durch, wenn ich mich einloggte. Es ist mir egal, ob jemand, der an meinem Schreibtisch vorbeigeht, diese Liste sieht.

Answer 4

Ich habe ein Kundenprojekt geerbt, das ich betreuen soll: ein ASP.NET-Projekt (zurück auf 1.1 gebaut), das zu 50% aus kompilierten DLLs (ohne Source) und 50% Code-Behind JIT kompiliert.

Die gesamte Website sollte nur für Mitglieder zugänglich sein - mit Ausnahme der ursprüngliche Entwickler hatte eine Hintertür eingebaut: Senden Sie einfach das Login-Formular mit einem leeren Benutzernamen und Passwort, und Sie würden als geheimer Super-Administrator eingeloggt: alles tun alles tun, alles sehen.

Sie haben es erraten: Der gesamte Authentifizierungscode war versteckt in der vorkompilierten DLL versteckt. Das Schlimmste war, als ich als man mir mitteilte: "Es stand nicht auf der Liste der Fehler, und der Kunde und der Kunde wird nicht zahlen, also lass es". Also tat ich es, und es ist immer noch in Betrieb heute.

Answer 5

Wenn ich so darüber nachdenke, war die schlimmste Sicherheitslücke, die ich je gesehen habe, als der Typ, der das elektronische Türschloss verwaltete, sagte: "Was meinen Sie damit, dass das Schloss keine Feiertage kennt"?

Jeden Montag bis Freitag, der zufällig ein Feiertag war, seit das Türsystem installiert wurde, war die Haustür von 08:00 bis 17:30 Uhr unverschlossen.