Pozor na špatné zabezpečení: Babišův web omylem vystavil e-maily fanoušků

  18:17aktualizováno  18:17
Web chcemelepsicesko.cz, který patří politickému hnutí ANO, měl špatně zabezpečené odhlašování. Kdokoli si mohl - byť velmi nepohodlně - prohlédnout e-mailové adresy desetitisíců lidí. Správce webu po upozornění chybu opravil.

Web ChcemeLepšíČesko.cz obsahoval chybu v zabezpečení e-mailů odběratelů newsleteru | foto: Pavel Kasík, Technet.cz

Čtenář nás upozornil na velmi zajímavou ukázku děravého zabezpečení. Na webu chcemelepsicesko.cz (patří politické straně Andreje Babiše - ANO 2011), narazil na špatně navrženou stránku sloužící k odhlášení odběru e-mailů. V URL adrese bylo číslo, které zřejmě odpovídalo číslu daného registrovaného uživatele v databázi.

Protože adresa neobsahovala žádné další parametry (například jednorázový autorizační klíč nebo náhodný řetězec) a nevyžadovala ani žádné další ověření, mohl kdokoli odhlásit libovolné množství odběratelů. A co hůře, ve chvíli, kdy je kliknutím na tlačítko „Odhlásit odběr“ vyřadil ze seznamu, dozvěděl se i celou e-mailovou adresu tohoto fanouška, respektive odběratele newsletteru.

Web chcemelepsicesko.cz obsahoval chybu zabezpečení

Web chcemelepsicesko.cz obsahoval chybu zabezpečení

Chybu se nám podařilo replikovat na několika náhodně zvolených číslech. Podle všeho šlo o reálné adresy uživatelů. Pokud by si někdo dal trochu práce, mohl by zřejmě skriptem odesílajícím automatické požadavky takto získat e-maily všech odběratelů (a zároveň jim zrušit odběr).

Ukázka uniklých e-mailových adres. Stačilo změnit číslo v URL.

Ukázka uniklých e-mailových adres. Stačilo změnit číslo v URL.

V podmínkách (nově upravených na základě GDPR) přitom provozovatel píše, že k osobním údajům „budou mít přístup pouze pověření zaměstnanci hnutí“ (myšleno Hnutí ANO 2011).

Citace z podmínek používání webu, sekce „Nakládání s vašimi osobními údaji“

Citace z podmínek používání webu, sekce „Nakládání s vašimi osobními údaji“

Provozovatele jsme na uvedené adrese gdpr@anobudelip.cz kontaktovali s dotazem, jak k chybě došlo a jak obtížné bylo ji opravit. Odpověď jsme zatím nedostali, pokud nám dorazí později, do článku ji doplníme.

Provozovatel webu již tuto chybu odstranil

Provozovatel nicméně po našem dotazu (není jisté, zda na základě našeho dotazu) web upravil tak, že už po odhlášení nejsou vidět e-mailové adresy. Současná verze webu již neobsahuje patičku, loňská verze webu uváděla: „Zadavatel ANO 2011 a zpracovatel Digital Wizards,“ odkazující na ostravskou digitální agenturu. Ta se ovšem od nového webu jednoznačně distancovala: „Přerušili jsme spolupráci s ANO, a práci přebrala jiná agentura. Ta náš web přepsala, a bohužel ne úplně vydařeně,“ uvedl Michal Čerbák ve zprávě redakci.

Jak se chovat bezpečně na internetu?

Tato celkem nevýznamná epizoda by měla sloužit hlavně jako varování pro začínající i zkušené webmastery. I zdánlivě nevýznamná funkce, jako je odhlášení odběru newsletteru, musí být chápána jako zabezpečená komunikace. A žádná akce uživatele (nebo dokonce návštěvníka webu) nesmí dát přístup k datům jiného uživatele. V tomto případě by stačilo zabezpečit odkaz na odhlášení newsletteru jednorázovým unikátním klíčem, ze kterého nelze vyčíst původní adresu. Tak je zajištěno, že se nikdo nedostane k e-mailovým adresám ostatních a nikdo nemůže snadno odhlásit od odběru někoho jiného, k jehož e-mailu nemá přístup.

Autor:
 

Nejčtenější

Sexuálně nejvýkonnější vyzvědače přebrali československé rozvědce Sověti

Býval agent československé rozvědky v USA Karel Köcher

Československým komunistickým rozvědčíkům se ve špionáži proti Spojeným státům dlouho nedařilo. Nakonec ale zaznamenali...

Našel na půdě 35 let starý Apple II, zapnul ho a dohrál uloženou hru

Spoustu let ležel na půdě, po zapnutí funguje „jako zamlada“.

Newyorský učitel našel u rodičů na půdě starý počítač Apple II. Zkusil ho zapnout a překvapivě mohl pokračovat ve hře,...

Lokální předpověď počasí se razantně zpřesní, možná pomáhá i váš telefon

GRAF

Nejpřesnější lokální předpovědi počasí dnes nabízejí aplikace v našich telefonech - i proto, že s nimi samy pomáhají....

V Perském zálivu spustili největší baterii světa. Virtuální a bez lithia

Sodíko-sírové bateriové systémy japonské firmy NGK. Systém, který se vejde do...

Ve Spojených arabských emirátech byla připojena do sítě největší „virtuální“ baterie světa s obřím výkonem a úctyhodnou...

Tančík pro vnuka poručíka Grubera. Němci ho nasadili i proti Tálibánu

Lehké obrněné vozidlo Wiesel s 20mm kanonem

V množině bojových vozidel Bundeswehru nalezneme s trochou štěstí i malé, ale o to více zajímavé tančíky Wiesel. Do...

Další z rubriky

Facebook bude muset v Německu omezit zpracování dat uživatelů

Logo Facebooku

Facebook nesmí podle rozhodnutí německých úřadů spojovat data uživatelů, která získal z různých platforem.

Robotická lékárna v Saúdské Arábii je rychlá. Netvoří se v ní fronty

V Saudské Arábii otevřeli robotickou lékárnu.

V Saúdské Arábii otevřeli první lékárnu, kde se na obsluze výraznou měrou podílejí roboti.

Nový evropský letoun v roce 2040 nahradí Eurofightery i stroje Rafale

Model letounu NGF na listopadové výstavě Euronaval v Paříži

Již za šest let by se mohl objevit technologický demonstrátor nového bojového letounu, který budou vyvíjet společnosti...

Najdete na iDNES.cz