Polskie serwisy, którym lepiej nie powierzać swoich haseł – edycja 2013

dodał 27 maja 2013 o 06:45 w kategorii Prywatność, Wpadki  z tagami: • • • •
Polskie serwisy, którym lepiej nie powierzać swoich haseł – edycja 2013

W lipcu 2012 opisaliśmy ponad 30 polskich serwisów, które nie chronią odpowiednio haseł użytkowników. W ciągu ostatnich 10 miesięcy połowa z nich poprawiła swoje zabezpieczenia. Sprawdź, kto ciągle wysyła hasła użytkowników otwartym tekstem.

Pierwsza edycja zestawienia polskich serwisów, które potrafią przesłać użytkownikowi jego własne hasło emailem, otwartym tekstem, cieszyła się wśród Was dużą popularnością. Dzięki Waszym wskazówkom w komentarzach  początkową listę rozbudowaliśmy o wiele stron, których administratorzy nie przejmują się bezpieczeństwem. Postanowiliśmy po dziesięciu miesiącach sprawdzić, czy wymienione wcześniej serwisy wprowadziły zmiany w swoich systemach i procedurach. Ku naszemu pozytywnemu zaskoczeniu prawie połowa z nich zmieniła sposób odzyskiwania utraconego hasła.

Dobre przykłady należy promować, tak więc oto strony, które w procesie odzyskiwania zapomnianego hasła przestały wysyłać użytkownikom ich hasła otwartym tekstem w poczcie elektronicznej: racjonalista.pl, pizzadominium.pl,  wiadomosci24.pl, narzedzia.pl, plfoto.com, ticketpro.pl, biegnijwarszawo.pl, gamepad.pl, abilet.pl, intercity.pl, domiporta.pl, margonem.pl, renault.pl.

Uwaga: obecność na powyższej liście wcale nie oznacza, że serwisy te przechowują Wasze hasła w swojej bazie w bezpiecznej, haszowanej formie. Oznacza jedynie, że przestały wysyłać otwartą formę hasła pocztą elektroniczną.

Z zeszłorocznej listy zniknęły także: monitoring.webhostingtalk.pl i officedepot.pl (koniec działalności), carlsberg.pl (usunięta personalizacja), gazetagoleniowska.com oraz  alterart.pl (brak możliwości odzyskania hasła, przynajmniej my nie znaleźliśmy). Kto zatem pozostał?

Serwisy wysyłające hasło otwartym tekstem

1. pasazer.com

2. snip.pl

3. epuls.pl

4. nbportal.pl

5. eurosportplayer.pl

Zgłosił Hubert

6. palmtopy.pl

Zgłosił Darek

7. rejestracjadomen.pl

Zgłosił sowiq

8. ruszajwpolske.pl

Zgłosił radmen

9. 3kropki.pl

Aktualizacja 2017-02-23: 22 lutego otrzymaliśmy informację, iż metoda obsługi haseł została poprawiona i nie są one już przesyłane.

Zgłosił Wiktor

10. zagraj.pl

Zgłosiła Anna

11. zbiornik.com

Zgłosił soulstorm

12. browamator.pl

Zgłosił Minder

13. podatki.biz

Zgłosił  Mateusz

14. bycprzedsiebiorczym.pl

portalbycprzedsiebiorczymZgłosił Konrad

15. mobilneplatnosci.pl

mobilneplatnosciDodany 2013-05-27, zgłosił true

16. darkorbit.pl

darkorbit.pl

Dodany 2013-05-27, zgłosił Igor

17. profit24.pl

profit24.pl

Dodany 2013-05-27, zgłosił Grzegorz

18. domenomania.pl

domenomania.pl

Dodany 2013-05-27, zgłosił Holas

19. domzdrowia.pl

domzdrowia

Dodany 2013-05-28, zgłosił Marcin

20. nowyelektronik.pl

nowyelektronik.pl

Dodany 2013-05-28, zgłosił Adrian

21. wspollokator.pl

wspollokator

Dodany 2013-05-28, zgłosił SWilk

22. friko.pl

friko

Dodany 2013-05-28, zgłosił Rafał

23. OWASP Poland

owasp

Dodany 2013-05-28, zgłosił Jakub

W kwestii OWASP Poland należy się krótkie wyjaśnienie. Jest o polski oddział stowarzyszenia promującego bezpieczeństwo aplikacji WWW. Do prowadzenia listy dyskusyjnej globalnie wykorzystuje oprogramowanie Mailman, które w wersji stabilnej 2.x nie obsługuje haszowania haseł. Obsługuje je wersja 3.x, obecnie w statusie beta. Stowarzyszenie jak do tej pory nie zdecydowało się na aktualizację oprogramowania. Nie używajcie tam zatem swojego zwyczajowego hasła.

24. bilety.wisla.krakow.pl

bilety.wisla.krakow

Dodany 2013-05-28, zgłosił M.

25. setki sklepów opartych na silniku IAI-Shop

Wiele sklepów w Polsce korzysta z platformy IAI-Shop, która domyślnie wysyła klientom przypomnienie hasła otwartym tekstem (i autorzy platformy twierdzą, że to dobrze i tak właśnie ma być). Wszystkim właścicielom tych sklepów przypominamy, że tak być nie musi – np. serwis drumcenter.pl potrafił sobie z tym poradzić.

Jeśli chcesz pomóc nam uzupełnić tę listę, prześlij na nasz adres informacje, który serwis wysłał Ci hasło otwartym tekstem. Łatwo znajdziesz te serwisy w swojej własnej skrzynce, przeszukując ją pod kątem zazwyczaj używanych haseł.

Czemu nie ma na liście Allegro i Gadu Gadu?

Oba serwisy same przyznały się do trzymania haseł użytkowników w odwracalnej lub jawnej formie, jednak nie wysyłają ich już emailem. Powyżej znajdują się tylko serwisy, które potrafią wysłać użytkownikowi jego hasło w jawnej formie.

Czy te hasła są zapisane otwartym tekstem w bazie?

Prawdopodobnie tak. Istnieją jednak inne możliwości, na przykład hasła mogą być szyfrowane algorytmem odwracalnym (symetrycznym lub asymetrycznym). Włamywacz, mający kontrolę nad serwerem, może poznać taki klucz (musi być on gdzieś przechowywany przez serwis) i odszyfrować Wasze hasła. Jeśli serwis może je Wam wysłać, to włamywacz może je poznać.

Serwis wysłał mi hasło zaraz po rejestracji, co zrobić?

Istnieje taka możliwość, że Wasze hasło, podane przy rejestracji, wysłane do Was emailem w jawnej formie, w bazie jest przechowywane w bezpiecznej formie hashu hasła. Tak działają np. niektóre fora internetowe. Hasło, podane przy rejestracji, jest do Was wysyłane przed jego zabezpieczeniem przez hashowanie. Zawsze możecie poprosić o wysłanie hasła (przez opcję „przypomnienie hasła”) by zobaczyć, czy otrzymacie je jawnym tekstem. Jeśli tak się stanie – dajcie nam znać.

Serwis jest na Waszej liście, co robić?

Używać tam hasła, którego Wam nie szkoda. Najlepiej używać tego hasła tylko w tym serwisie – jeśli wycieknie do internetu, Wasze straty będą ograniczone tylko do tego jednego konta. Można też próbować apelować do administratorów serwisu, by zmienili sposób przechowywania haseł – a nuż się uda. Albo poczekać na włamanie z publicznym wyciekiem danych – wtedy szybko zmienią.

Jak bezpiecznie przechowywać hasła?

Podstawową metodą jest stosowanie bezpiecznej, a więc złożonej obliczeniowo, funkcji hashującej. W dzisiejszych czasach samo MD5 lub SHA1 bez soli nie wystarcza. Stosować długą, losową sól (np. 32 znaki), inną dla każdego hasła a najlepiej używać KDF (key derivation function), takich jak PBKDF2, bcrypt czy scrypt.

Podobne wpisy