Perjantai, 9.5.2003
Microsoftin Passport-palvelussa vakava tietoturvareikä
Microsoftin nettiteknologioidensa tekniseksi sydämeksi hehkuttamasta Passport-palvelusta löytyi erittäin vakava tietoturvareikä, joka on mahdollistanut salasanan vaihtamisen jokaiselle tiedossa olevalle käyttäjätunnukselle. Itse asiassa kyseessä ei ole edes tietoturvareikä, vaan palvelun salasanan resetointijärjestelmä on alunperin suunniteltu täysin järjettömästi. Passportin käyttäjät lienevät hämillään tilanteesta, sillä järjestelmää on kehuttu erittäin hyvin suojatuksi. Hyvä tietoturva onkin tärkeää, koska Passport sisältää käyttäjien henkilö- ja luottokorttitietoja, jotta he voisivat shoppailla netissä helposti hiirtä klikkailemalla.
Passportin salasanaa vaihdettaessa URL-osoite on sisältänyt sekä käyttäjätunnuksen että sähköpostiosoitteen, jonne salasanan vaihtoon vaadittava sähköpostiviesti lähetetään. Näin ollen jos kräkkeri on tiennyt yhdenkin käyttäjätunnuksen, hän on voinut syöttää selaimen osoiteriville muokkaamansa osoitteen, joka lähettää kyseisen viestin hänelle itselleen tunnuksen haltijan sijaan. Sähköpostiviesti sisältää linkin, jonka avulla salasanan voi vaihtaa haluamakseen. Reikä on sijainnut Passport-järjestelmässä ilmeisesti alusta asti, mutta se tuli julkisuuteen viime keskiviikkona Full Disclosure -sähköpostilistan kautta.
Microsoft sulki Passport-palvelun salasanan resetointijärjestelmän pari tuntia sen jälkeen, kun ongelmasta tiedotettiin Full Disclosuressa. Reiän tiedot julkistanut Muhammad Faisal Rauf Danka hoksasi ongelman kuultuaan ystävältään, että hänen käyttäjätunnuksensa oli murrettu. Danka tutki asiaa ja huomasi resetointijärjestelmän vajavaisuuden. Danka lähetti Microsoftille useita sähköviestejä ongelmasta, mutta ei saanut niihin vastausta, joten hän toi asian julkisuuteen. Monet tietoturva-asiantuntijat vahvistivat Dankan kuvaaman vian olemassaolon.
Muita aiheeseen liittyviä uutisia
Kommentoi juttua
Anonyymi kommentoija, 9.5.2003 02:12:47
Vastaa
Anonyymi kommentoija, 9.5.2003 09:35:30
Vastaa
Kannatiko tuosta maksaa... huh huh...
Tätähän Mycro$oft vain tekee, ostaa yrityksiä ja lyö niihin oman leiman päälle. Koko heidän liikeideanssa on tuo. Ihmisille annetaan vain mielikuva siitä että he ovat innovatiivisia yms. Todellisuudessa Mucro$soft on vain erittäin tehokas markkonointi ja juristi organisaatio.
Mitä tietoturvaan tulee se nyt ei ikinä ole ollut heidän prioriteettilistalla ykkönen, nyt tuokin viritys on korjattu siten että vika on edelleen olemassa mutta reititin sekä palomuuri saannoillä on nyt muutettu että tuon palvelun voi tehdä vain heidän sisäverkosta käsin. ELi koko Mocro$oftin henkilökunta sekä heidän tiloissa työskentelevä ulkopuolinen voi halutessaan tehdä muutoksia kenen tahansa salasanaan.
Anonyymi kommentoija, 9.5.2003 10:31:16
Vastaa
Vai miten sinä haluaisit että Microsoft toimii? Eikö se saisi ollenkaan ostaa yrityksiä? Entäs yksittäiset työntekijät, pitäisikö Microsoftin kouluttaa itse kaikki henkilökunta alusta saakka, muutenhan työntekijätkin rekrytoidaan (=ostetaan) muista yrityksistä ja pannaan työntekijöiden työlle Microsoft-leima päälle. Vai pitäisikö koko Microsoft-nimestä mielestäsi luopua ja yrittää myydä erinäisten pikkufirmojen tuotteita miljoonalla eri tuotemerkillä? Ei taitaisi olla yrityksen toiminnan kannalta kovin järkevää.
Anonyymi kommentoija, 9.5.2003 10:47:03
Vastaa
Vai miten sinä haluaisit että Microsoft toimii? Eikö se saisi ollenkaan ostaa yrityksiä? Entäs yksittäiset työntekijät, pitäisikö Microsoftin kouluttaa itse kaikki henkilökunta alusta saakka, muutenhan työntekijätkin rekrytoidaan (=ostetaan) muista yrityksistä ja pannaan työntekijöiden työlle Microsoft-leima päälle. Vai pitäisikö koko Microsoft-nimestä mielestäsi luopua ja yrittää myydä erinäisten pikkufirmojen tuotteita miljoonalla eri tuotemerkillä? Ei taitaisi olla yrityksen toiminnan kannalta kovin järkevää.
Anonyymi kommentoija, 9.5.2003 11:32:58
Vastaa
Yleisesti näistä eri softaan liittyvistä innovaatioista on todella vaikea sanoa, kuka ne on keksinyt ensin. Jokin ominaisuus tulee yhteen softaan, toinen firma tekee siitä oman paremman versionsa omaan ohjelmistoonsa, jonka kolmas kopioi omaansa. Tätä kun on jatkunut kymmeniä vuosia on aika vaikea sanoa, kuka ominaisuuden alunperin keksi. Ja useat tietokoneohjelmissa olevat ominaisuudet ovat peräisin muista teknologioista ja välineistä. Joten on aika turha syyttää Microsoftia tai mitään muutakaan softafirmaa kopioinnista ja innovaatioiden puutteesta.
Itseasiassa, jos jotain tahoa halutaan kopioinnista syyttää, niin voisi syyttää linuxia ja monia muita open source -projekteja :) Näissähän kopiodaan ominaisuuksia kaupallisista tuotteista ja tehdään niistä uusia ilmaisversioita. Linux on unix-kopio ja esim. Open Office taitaa olla aika pitkälle MS Office kopio. Ja nythän on ollut tapetilla väitteitä siitä, että linuxin olennaisia osia olisi varastettu kaupallisista unixeista. Johtopäätös: softateollisuudessa kaikki kopioivat kaikilta, näin se on ollut ja näin se tulee olemaan.
Anonyymi kommentoija, 9.5.2003 16:18:02
Vastaa
Jopa DOS:in Bill Gates varasti kaveriltaan. Ja kaikki innovaation siitä etäänpäin on hankittu joko ostamalla tai muuten kyseenalaisin keinoin.
Ostaminen on kyseenalainen keino? Mistä lähtien? Ja miksi ihmeessä Microsoftin edes kannattaisi tehdä softaa itse, jos saman softan saa ostettua ulkopuolelta valmiina ja halvemmalla? Ei Microsoft tai mikään muukaan yritys ole mikään persoonallinen olento jolla on oma mieli. Kyse on yrityksestä, joka yrittää parhaansa mukaan tehdä rahaa niin kuin kaikki yritykset. Jos rahaa tulee sillä, että panostetaan itse vain markkinointiin ja ostetaan tuotteet muilta firmoilta niin silloin kannattaa toimia niin. Muuten toiminen olisi tyhmää. Samoin jos rahaa tulee sillä, että kehitetään kaikki itse niin silloin toimitaan siten. Kyse on vain normaalista yritystoiminnasta, ei sen kummemmasta asiasta.
Yleisesti näistä eri softaan liittyvistä innovaatioista on todella vaikea sanoa, kuka ne on keksinyt ensin. Jokin ominaisuus tulee yhteen softaan, toinen firma tekee siitä oman paremman versionsa omaan ohjelmistoonsa, jonka kolmas kopioi omaansa. Tätä kun on jatkunut kymmeniä vuosia on aika vaikea sanoa, kuka ominaisuuden alunperin keksi. Ja useat tietokoneohjelmissa olevat ominaisuudet ovat peräisin muista teknologioista ja välineistä. Joten on aika turha syyttää Microsoftia tai mitään muutakaan softafirmaa kopioinnista ja innovaatioiden puutteesta.
Itseasiassa, jos jotain tahoa halutaan kopioinnista syyttää, niin voisi syyttää linuxia ja monia muita open source -projekteja :) Näissähän kopiodaan ominaisuuksia kaupallisista tuotteista ja tehdään niistä uusia ilmaisversioita. Linux on unix-kopio ja esim. Open Office taitaa olla aika pitkälle MS Office kopio. Ja nythän on ollut tapetilla väitteitä siitä, että linuxin olennaisia osia olisi varastettu kaupallisista unixeista. Johtopäätös: softateollisuudessa kaikki kopioivat kaikilta, näin se on ollut ja näin se tulee olemaan.
http://research.microsoft.com/research/projects/
Anonyymi kommentoija, 9.5.2003 16:22:57
Vastaa
Hankittu kyseenalaiisn keinoin ? Häh, mitä oikein valitat, yrityskaupat ja teknologiahankinnat muka kyseenalaisia keinoja ja tutkimuksesta puhumattkaaan ?
Kannattaisiko oikoa käsityksiään vaikkapa osoitteessa:
http://research.microsoft.com/research/projects/
Anonyymi kommentoija, 9.5.2003 18:17:10
Vastaa
jjx, 10.5.2003 14:06:08
Vastaa
Microsoftin vihaajien kannalta tuo on tietenkin aika ikävä paikka, koska jokainen voi ihan itse kuvitella millainen vaikutus tuollaisilla panostuksilla on firman tulevaisuuteen.
-Juha
avirtan, 12.5.2003 11:43:50
Vastaa
Noh, myönnettäköön ettei IBM ole pelkkä softatalo...
Anonyymi kommentoija, 9.5.2003 09:58:33
Vastaa
Anonyymi kommentoija, 9.5.2003 07:56:30
Vastaa
Onhan noita urli ihmetyksiä nähty useita, kuten erään firman nettikaupassa näky salasana selväkielisenä urlissa.
Anonyymi kommentoija, 9.5.2003 08:21:35
Vastaa
Ei ihmisetkään voi tuollaisia virheitä tehdä. Tuon on koodannut joku apina ;-)
Anonyymi kommentoija, 9.5.2003 08:47:39
Vastaa
Anonyymi kommentoija, 9.5.2003 11:03:40
Vastaa
Anonyymi kommentoija, 9.5.2003 22:28:21
Vastaa
This memo describes a protocol suite which supports an infinite number of monkeys that sit at an infinite number of typewriters in order to determine when they have either produced the entire works of William Shakespeare or a good television show. The suite includes communications and control protocols for monkeys and the organizations that interact with them.
Anonyymi kommentoija, 9.5.2003 14:43:09
Vastaa
feenix, 10.5.2003 10:43:47
Vastaa
Anonyymi kommentoija, 12.5.2003 11:25:10
Vastaa
Anonyymi kommentoija, 12.5.2003 12:32:28
Vastaa
pana, 15.5.2003 18:09:08
Vastaa
Omista apache+ssl kikkailuista on aikaa, joten korjatkaa, jos olen väärässä.
Anonyymi kommentoija, 9.5.2003 08:15:19
Vastaa
Sinänsä kyllä pidän microsoftin tuotteista ja käytän niitä paljon, mutta kyllä usko passportiin meni nyt kerralla. Jos siellä on näin suuria suunnitteluvirheitä voi vain kuvitella, mitä kaikkia pienempiä aukkoja järjestelmästä ajan myötä löytyy.
lokori, 11.5.2003 11:16:46
Vastaa
http://avirubin.com/passport.htm
eXeonical, 9.5.2003 08:30:22
Vastaa
Minäkin joitakin testisivuja PHP:llä väsättyäni tiedän että jos tiedot lähetetään GET:llä tai POST :lla voi clientiltä, eli selaimelta, tulla ihan mitä tahansa.
Olipa systeemin suunnitellut ja toteuttanut kuka tahansa, ei tuommoisia sivuja voi koodata jos tajuaa webbisivujen toiminnasta yhtään mitään. Varsinkin jos koko passportin ideana on tarjota LUOTETTAVA käyttäjien tunnistus järjestelmä.
Anonyymi kommentoija, 9.5.2003 08:55:03
Vastaa
Anonyymi kommentoija, 9.5.2003 17:37:33
Vastaa
Pineapple, 10.5.2003 01:11:00
Vastaa
Bostik, 9.5.2003 18:40:18
Vastaa
Reilut pari vuotta sitten BugTraq-postituslistalla näkyi toistuvasti valituksia siitä, että MS ei antanut minkäänlaista painoarvoa heille lähetettyihin reikäraportteihin. Tästä syystä listalle sitten postattiin toinen toistaan tylympiä "proof-of-concept"-nimikkeellä mainostettuja skriptejä, joilla reikiä pystyi hyödyntämään. Vasta kun reikä ja sitä hyödyntävä ohjelma olivat julkisuudessa, MS suostui reagoimaan ja korjaamaan reiän.
Pitäisi kaivaa uutisarkistoja ja tutkia, mitä reikiä jouduttiin julkistamaan vielä 2-3 kuukautta ennen kuin Trustworthy Computing-rummutus alkoi. Koko ohjelma lähti siitä, että yrityksen tuotteiden julkisuuskuva alkoi *ihan oikeasti* kärsiä. Uskallan väittää, että ohjelma käynnistettiin vasta kun reikien ja exploittien julkaisuja alkoi tulla liian tiuhaan tahtiin.
Vaikka onkin yksittäinen tapaus, vaikuttaa tämä silti ikävästi paluulta vanhaan.
Anonyymi kommentoija, 9.5.2003 20:08:12
Vastaa
Tosiasia on, ettei linuxista koskaan tule mitään "koko kansan" käyttistä, siitä pitävät huolen n+1 distron + n+1 kernel version + n+1 kirjastoversioden jakelijat. Jos ohjelmien jakelu linuxiin sujuisi binäärimuodossa niin siitä voisi tulla menekki, nykytilanteessa jossa kaikki on käytännössä käännettävä itse voitte unohtaa menestyksen.
Anonyymi kommentoija, 9.5.2003 21:18:08
Vastaa
Tosin pahasti pelkään, että olet oikeassa mutta syynä ei ole mainitsemasi vaan Pingviinikerhon asenne aloittelijoita ja muita käyttöjärjestelmiä käyttäviä kohtaan.
Anonyymi kommentoija, 11.5.2003 21:05:56
Vastaa
Anonyymi kommentoija, 11.5.2003 22:00:03
Vastaa
// Tuomo Björksten
Nonsense, 9.5.2003 12:21:10
Vastaa
Itse en ole koskaan Passportiin tai sen tapaisiin palveluihin luottanut, mutta tämänkaltainen virhe on, kuten eräs anonyymi kommentoi, aivan naurettava.
Sitä paitsi, haluammeko me käyttäjät shoppailun olevan mahdollista "hiirtä klikkailemalla"? "Voisikin tästä klikkailla tuon kolmen tuhannen euron telkkarin tänne klik klik." Tietysti helppo ostosten tekeminen on hyvä asia, mutta jossain menee raja. Itse en halua että kun klikkaan mainosbanneria, ryystää selain Passportista tai mistä tahansa vastaavasta palvelusta luottokortti- sekä osoitetiedot ja sitten ilmoittaa että tuote saapuu kahden viikon kuluessa.
tpr, 9.5.2003 13:13:37
Vastaa
Anonyymi kommentoija, 9.5.2003 21:20:15
Vastaa
Kaikkea sitä täälläkin väitetään ilman minkäänlaisia perusteluita tai edes linkkiä itse asiaan.
Anonyymi kommentoija, 12.5.2003 10:05:47
Vastaa
tpr, 11.5.2003 14:11:05
Vastaa
Anonyymi kommentoija, 12.5.2003 14:03:59
Vastaa
Miksi minulta kysyt perusteluita siitä miksi se onnistuisi?
Sinähän se kirjoitit, että luulet sellaisen "aukon" olevan.
Joten sinun tulisi perustella miksi se onnistuisi ei minun.
superhoe, 9.5.2003 15:46:02
Vastaa
"Microsoft ja Federal Trade Commision sopivat viime vuonna Passportin turvallisuuteen liittyvän kiistan. Sopimuksen sisältyi 11 000 dollarin sakko jokaista haavoittuvaa Passport-tiliä kohden. Koska salasana-aukko koski kaikkia yhtiön 200 miljoonaa Passport-tiliä, Microsoftin teoreettinen sakkosumma nousee huimaan 2 200 miljardiin dollariin.
Microsoft tosin raportoi varsinaisesti vaarantuneiden tilien määrän olleen huomattavasti 200 miljoonaa pienempi. FTC ei suostunut kertomaan Reutersille aloittaako se tapauksen tutkinnan, mutta komission edustaja totesti heillä olevan velvoite Microsoftin valvontaan asiassa."
Saadaanpa nyt sitten myös nähdä ovatko nämä FTC:n 'hanttiin panemiset' pelkkää silmänlumetta vai aikovatko tosissaan VALVOA ja pitää tiukkaa linjaa.
Tietoturva-aukko koski kaikkia tilejä, mutta vaarantuneiden tilien määrä on paljon pienempi. Rankkaa.
Toivotaan, toivotaan, toivotaaaan..