Pozor na špatné zabezpečení: Babišův web omylem vystavil e-maily fanoušků

  18:17aktualizováno  18:17
Web chcemelepsicesko.cz, který patří politickému hnutí ANO, měl špatně zabezpečené odhlašování. Kdokoli si mohl - byť velmi nepohodlně - prohlédnout e-mailové adresy desetitisíců lidí. Správce webu po upozornění chybu opravil.

Web ChcemeLepšíČesko.cz obsahoval chybu v zabezpečení e-mailů odběratelů newsleteru | foto: Pavel Kasík, Technet.cz

Čtenář nás upozornil na velmi zajímavou ukázku děravého zabezpečení. Na webu chcemelepsicesko.cz (patří politické straně Andreje Babiše - ANO 2011), narazil na špatně navrženou stránku sloužící k odhlášení odběru e-mailů. V URL adrese bylo číslo, které zřejmě odpovídalo číslu daného registrovaného uživatele v databázi.

Protože adresa neobsahovala žádné další parametry (například jednorázový autorizační klíč nebo náhodný řetězec) a nevyžadovala ani žádné další ověření, mohl kdokoli odhlásit libovolné množství odběratelů. A co hůře, ve chvíli, kdy je kliknutím na tlačítko „Odhlásit odběr“ vyřadil ze seznamu, dozvěděl se i celou e-mailovou adresu tohoto fanouška, respektive odběratele newsletteru.

Web chcemelepsicesko.cz obsahoval chybu zabezpečení

Web chcemelepsicesko.cz obsahoval chybu zabezpečení

Chybu se nám podařilo replikovat na několika náhodně zvolených číslech. Podle všeho šlo o reálné adresy uživatelů. Pokud by si někdo dal trochu práce, mohl by zřejmě skriptem odesílajícím automatické požadavky takto získat e-maily všech odběratelů (a zároveň jim zrušit odběr).

Ukázka uniklých e-mailových adres. Stačilo změnit číslo v URL.

Ukázka uniklých e-mailových adres. Stačilo změnit číslo v URL.

V podmínkách (nově upravených na základě GDPR) přitom provozovatel píše, že k osobním údajům „budou mít přístup pouze pověření zaměstnanci hnutí“ (myšleno Hnutí ANO 2011).

Citace z podmínek používání webu, sekce „Nakládání s vašimi osobními údaji“

Citace z podmínek používání webu, sekce „Nakládání s vašimi osobními údaji“

Provozovatele jsme na uvedené adrese gdpr@anobudelip.cz kontaktovali s dotazem, jak k chybě došlo a jak obtížné bylo ji opravit. Odpověď jsme zatím nedostali, pokud nám dorazí později, do článku ji doplníme.

Provozovatel webu již tuto chybu odstranil

Provozovatel nicméně po našem dotazu (není jisté, zda na základě našeho dotazu) web upravil tak, že už po odhlášení nejsou vidět e-mailové adresy. Současná verze webu již neobsahuje patičku, loňská verze webu uváděla: „Zadavatel ANO 2011 a zpracovatel Digital Wizards,“ odkazující na ostravskou digitální agenturu. Ta se ovšem od nového webu jednoznačně distancovala: „Přerušili jsme spolupráci s ANO, a práci přebrala jiná agentura. Ta náš web přepsala, a bohužel ne úplně vydařeně,“ uvedl Michal Čerbák ve zprávě redakci.

Jak se chovat bezpečně na internetu?

Tato celkem nevýznamná epizoda by měla sloužit hlavně jako varování pro začínající i zkušené webmastery. I zdánlivě nevýznamná funkce, jako je odhlášení odběru newsletteru, musí být chápána jako zabezpečená komunikace. A žádná akce uživatele (nebo dokonce návštěvníka webu) nesmí dát přístup k datům jiného uživatele. V tomto případě by stačilo zabezpečit odkaz na odhlášení newsletteru jednorázovým unikátním klíčem, ze kterého nelze vyčíst původní adresu. Tak je zajištěno, že se nikdo nedostane k e-mailovým adresám ostatních a nikdo nemůže snadno odhlásit od odběru někoho jiného, k jehož e-mailu nemá přístup.

Autor:
 

Nejčtenější

Jednosměrná letenka na rudou planetu se odkládá. Mars One krachuje

Ilustrace základny na Marsu, jak si ji představují v organizaci Mars One...

Firma Mars One, která slibovala soukromý let na Mars už v roce 2024, zkrachovala. Plány dostat na Mars lidské obyvatele...

Tančík pro vnuka poručíka Grubera. Němci ho nasadili i proti Tálibánu

Lehké obrněné vozidlo Wiesel s 20mm kanonem

V množině bojových vozidel Bundeswehru nalezneme s trochou štěstí i malé, ale o to více zajímavé tančíky Wiesel. Do...

Poslední Hitlerovy narozeniny nestály za nic. Supertanků se nedočkal

3D model stíhače tanků Jagdpanther, přezbrojeného na kanón ráže 128 mm tak, jak...

Na podzim 1944 se třetí říše hroutí a německé zbrojovky se snaží o nemožné. Hledají recept na zázračné zbraně,...

Kapitán nedosáhl na pedály. Začátek proudové éry přinesl zvláštní nehody

B-707 N7071  Braniff

Nová technika není vždy nutně bezpečnější. Dokládá to vývoj v letectví na přelomu 50. a 60. let. Piloti se s novými...

Lokální předpověď počasí se razantně zpřesní, možná pomáhá i váš telefon

GRAF

Nejpřesnější lokální předpovědi počasí dnes nabízejí aplikace v našich telefonech - i proto, že s nimi samy pomáhají....

Další z rubriky

Další povinnost z EU. Auta musí přijímat i digitální rozhlas

Škoda Scala

Poslech digitálně šířeného rozhlasu DAB je pro většinu Čechů vymoženost, kterou ze svých automobilů většinou neznají....

Během zatmění dopadl na Měsíc meteorit. Záblesk potvrdili i astronomové

Zvětšený detail ze záběru Měsíce Griffith Observatory

V pondělí brzy ráno dopadl na měsíční povrch meteorit, všimli si amatérští astronomové. Jejich pozorování záhy...

Přehrávač ve Windows 7 nepozná, co hraje. Microsoft tak nutí k upgradu

Windows Media Player - Windows 7

Přehrávače Media Player a Media Center na starších verzích systému Windows přestanou zobrazovat informace o...

ČPZP se stará o zdraví a pohodu nastávajících maminek i jejich dětí
ČPZP se stará o zdraví a pohodu nastávajících maminek i jejich dětí

Začátek nového života přináší do rodiny spoustu radosti, ale i starostí. Doprovází ho obavy o zdraví, změna režimu a zařizování nezbytné výbavičky pro miminko. Pomoc přichází z nejrůznějších stran. Od rodiny, přátel. Víte ale, že Česká průmyslová zdravotní pojišťovna nabízí maminkám až 3 000 Kč?

Najdete na iDNES.cz