Pátek 5. června 2020, svátek má Dobroslav
  • schránka
  • Přihlásit Můj účet
  • Pátek 5. června 2020 Dobroslav

Pozor na špatné zabezpečení: Babišův web omylem vystavil e-maily fanoušků

  18:17aktualizováno  18:17
Web chcemelepsicesko.cz, který patří politickému hnutí ANO, měl špatně zabezpečené odhlašování. Kdokoli si mohl - byť velmi nepohodlně - prohlédnout e-mailové adresy desetitisíců lidí. Správce webu po upozornění chybu opravil.

Web ChcemeLepšíČesko.cz obsahoval chybu v zabezpečení e-mailů odběratelů newsleteru | foto: Pavel Kasík, Technet.cz

Čtenář nás upozornil na velmi zajímavou ukázku děravého zabezpečení. Na webu chcemelepsicesko.cz (patří politické straně Andreje Babiše - ANO 2011), narazil na špatně navrženou stránku sloužící k odhlášení odběru e-mailů. V URL adrese bylo číslo, které zřejmě odpovídalo číslu daného registrovaného uživatele v databázi.

Protože adresa neobsahovala žádné další parametry (například jednorázový autorizační klíč nebo náhodný řetězec) a nevyžadovala ani žádné další ověření, mohl kdokoli odhlásit libovolné množství odběratelů. A co hůře, ve chvíli, kdy je kliknutím na tlačítko „Odhlásit odběr“ vyřadil ze seznamu, dozvěděl se i celou e-mailovou adresu tohoto fanouška, respektive odběratele newsletteru.

Web chcemelepsicesko.cz obsahoval chybu zabezpečení

Web chcemelepsicesko.cz obsahoval chybu zabezpečení

Chybu se nám podařilo replikovat na několika náhodně zvolených číslech. Podle všeho šlo o reálné adresy uživatelů. Pokud by si někdo dal trochu práce, mohl by zřejmě skriptem odesílajícím automatické požadavky takto získat e-maily všech odběratelů (a zároveň jim zrušit odběr).

Ukázka uniklých e-mailových adres. Stačilo změnit číslo v URL.

Ukázka uniklých e-mailových adres. Stačilo změnit číslo v URL.

V podmínkách (nově upravených na základě GDPR) přitom provozovatel píše, že k osobním údajům „budou mít přístup pouze pověření zaměstnanci hnutí“ (myšleno Hnutí ANO 2011).

Citace z podmínek používání webu, sekce „Nakládání s vašimi osobními údaji“

Citace z podmínek používání webu, sekce „Nakládání s vašimi osobními údaji“

Provozovatele jsme na uvedené adrese gdpr@anobudelip.cz kontaktovali s dotazem, jak k chybě došlo a jak obtížné bylo ji opravit. Odpověď jsme zatím nedostali, pokud nám dorazí později, do článku ji doplníme.

Provozovatel webu již tuto chybu odstranil

Provozovatel nicméně po našem dotazu (není jisté, zda na základě našeho dotazu) web upravil tak, že už po odhlášení nejsou vidět e-mailové adresy. Současná verze webu již neobsahuje patičku, loňská verze webu uváděla: „Zadavatel ANO 2011 a zpracovatel Digital Wizards,“ odkazující na ostravskou digitální agenturu. Ta se ovšem od nového webu jednoznačně distancovala: „Přerušili jsme spolupráci s ANO, a práci přebrala jiná agentura. Ta náš web přepsala, a bohužel ne úplně vydařeně,“ uvedl Michal Čerbák ve zprávě redakci.

Jak se chovat bezpečně na internetu?

Tato celkem nevýznamná epizoda by měla sloužit hlavně jako varování pro začínající i zkušené webmastery. I zdánlivě nevýznamná funkce, jako je odhlášení odběru newsletteru, musí být chápána jako zabezpečená komunikace. A žádná akce uživatele (nebo dokonce návštěvníka webu) nesmí dát přístup k datům jiného uživatele. V tomto případě by stačilo zabezpečit odkaz na odhlášení newsletteru jednorázovým unikátním klíčem, ze kterého nelze vyčíst původní adresu. Tak je zajištěno, že se nikdo nedostane k e-mailovým adresám ostatních a nikdo nemůže snadno odhlásit od odběru někoho jiného, k jehož e-mailu nemá přístup.

Autor:

Přechod na DVB-T2

Od 27. 11. probíhá postupný přechod na vysílací standard DVB-T2. Kvůli koronavirové pandemii vláda rozhodla o odložení zbývajících přechodů na vysílání DVB-T2. Diváci si tak musí pořídit televizi s podporou kódování H.265 (HEVC) nebo starší televizi doplnit vhodným set-top boxem.

  • Nejčtenější

Astronauté z Crew Dragonu jsou na palubě Mezinárodní vesmírné stanice

Americká soukromá loď s lidskou posádkou Crew Dragon se připojila k Mezinárodní vesmírné stanici (ISS) a astronauté...

Vypínání pozemní TV v DVB-T začne 8. července. Podívejte se, kdy bude u vás

Společnost České radiokomunikace, která provozuje největší síť pozemních vysílačů, začne znovu vypínat současný formát...

USA i Evropa se šíření koronaviru v lednu ubránily. Pak přišel podruhé

Analýza malých genetických změn viru SARS-CoV-2 ze Spojených států i Evropy ukazují, jak se během prvního měsíce...

Československý protiletadlový kanon, který ostřeloval Maginotovu linii

Protiletadlový kanon vzor 22 ze Škody Plzeň patřil v dekádě svého vzniku ke světové špičce. Za Mnichova už byl sice...

{NADPIS reklamního článku dlouhý přes dva řádky}

{POPISEK reklamního článku, také dlouhý přes dva a možná dokonce až tři řádky, končící na tři tečky...}

Jaký je nejdražší lék na světě? V lékárně jste si ho nejspíš koupili i vy

Premium Nejdražší lék na světě – Zolgensma – si své prvenství na žebříčku extrémně nákladných terapií vysloužil svou cenou. To...

Virus se mění pod rukama. Přírodní izoláty se tak nechovají, vysvětluje Peková

Premium Do povědomí širší veřejnosti se molekulární bioložka a viroložka Soňa Peková z laboratoře Tilia dostala pro své neshody...

Xaver: Klobouk dolů před Klausem. V ČRo zůstávám, spory s ČT házím do jímky

Premium Ve středu ho poslanci zvolili do Rady České televize. Přesto, že spolu s ním byli zvoleni i Hana Lipovská a Pavel...

Prezidentova nemoc. Neuropatie je tichá epidemie moderní doby, říká lékař

Premium Brnění nohou, mravenčení, vrávoravá chůze, zakopávání a pády, ale i krutá bolest chodidel. To je hrubý výčet příznaků...

  • Další z rubriky

Přichází nový mini počítač Raspberry Pi. Zvládne dva monitory se 4k

Na světě je čtvrtá generace jednoduchého počítačového systému Raspberry Pi. Systém nyní pohání výkonnější procesor a...

Navigace Galileo už funguje. Za výpadek prý mohla aktualizace softwaru

Poskytování satelitních navigačních služeb evropským systémem Galileo bylo po týdenním výpadku obnoveno. Příčinou...

Google spouští nové Nákupy. Nabídne i garanci správného doručení

Google ve Spojených státech nyní nabízí upravenou službu Nákupy. Ta pracuje s personifikovanější nabídkou na základě...

Ukrajina oficiálně představila kryt pro Černobyl. Na místě stojí roky

Desátého července byl slavnostně „odhalen“ nový kryt nad havarovaným IV. blokem černobylské elektrárny. Na svém místě...

Otestováno dětmi: Kniha plná pohádek a známých postaviček od Disneyho
Otestováno dětmi: Kniha plná pohádek a známých postaviček od Disneyho

Oblíbené postavičky od Disneyho, jako jsou Minnie a Mickey Mouse, ožívají v knížce s příběhy na dobrou noc. Jak se líbí dětem a pomáhají jim usnout?

Astronauté z Crew Dragonu jsou na palubě Mezinárodní vesmírné stanice

Americká soukromá loď s lidskou posádkou Crew Dragon se připojila k Mezinárodní vesmírné stanici (ISS) a astronauté...

Když dobrota škodí. Jak zdravotníci z WHO otrávili půlku Bangladéše

Případ Bangladéš zůstává nejčernější skvrnou na nedávné minulosti Světové zdravotnické organizace. Chuť být prospěšný a...

SuperStar vyhrála Slovenka Barbora Piešová. Porotkyně Bagárová chyběla

Česko Slovenskou Superstar 2020 se stala zrzka Barbora Piešová (19), která rozplakala svým finálovým výkonem porotu i...

Češi mají rádi orální sex, potvrdil průzkum. Jak jste na tom vy?

Obliba orálního sexu roste. Dopřává si jej 75 procent Čechů, pětina lidí by mu dala přednost před jinými sexuálními...

Měla jste se víc zajímat, vzkázal soud Vondráčkové ve sporu o túje

Helena Vondráčková prohrála pravomocně spor s obcí Řitka kvůli pokáceným tújím na obecním pozemku před jejím domem....