קטגוריות
משולחן היועץ אינטרנט

גלובס: נכשל באבטחה

היום קיבלתי דואר אלקטרוני לאיפוס הסיסמה שלי בגלובס, כולל קישור לעמוד איפוס הסיסמאות:

שלום גיל,
בימים אלו החלנו בעבודות שיפור ושידרוג הדסק
כחלק ממהלך השדרוג אופסו כל סיסמאות המשתמשים
אנא לחץ כאן לעדכון סיסמה חדשה לחשבונך
שינוי זה הוא צעד ראשון בדרך להפיכת הדסק למערכת תוכן גולשים מגיבה, אקטואלית ויעילה,
שתהפוך את הרשומים בה למומחים בתחומם, ופרסום הפרשנויות שלהם באתר.

התהליך כולל כמעט כל כשל בסיסי שניתן להעלות על הדעת:

  1. עמוד עדכון הסיסמאות (כמו גם עמוד הכניסה של גלובס) אינם כוללים אבטחת SSL.
  2. הקישור שנשלח כולל בתוכו גם את שם המשתמש ואת הסיסמה. מכאן שגלובס אינם מצפינים סיסמאות, אותה רמת אבטחה של פיצה האט ((כן, הקישור הוא לגלובס)).
  3. אין כל סיבה לכלול את המידע הרגיש בדואר. ניתן היה לבקש מהמשתמש לגשת לאתר, ולשנות את הסיסמה או להוסיף את הבקשה בחיבור הבא של המתשמש.
  4. הקישור איננו איפוס סיסמה, הוא בפועל כניסה למערכת עם הסיסמה הקיימת והפניה לעמוד שינוי הסיסמה.

עצוב.

כתיבת תגובה

האימייל לא יוצג באתר. שדות החובה מסומנים *

אתר זה עושה שימוש באקיזמט למניעת הודעות זבל. לחצו כאן כדי ללמוד איך נתוני התגובה שלכם מעובדים.

%d בלוגרים אהבו את זה: