Добрый день всем.

Я понимаю что в данный момент все озабочены финансовым кризисом но всё же...
По роду работы я занимаюсь тестирование программного обеспечения и часто сталкиваюсь с уязвимостями безопасности на западных веб-сайтах. Мне, как профессионалу и клиенту двух банков стало интересно как обстоят дела с безопасностью веб-сайтов наших банков. И что вы думаете - 33 банка более чем из ста рассмотренных имели серьёзные уязвимости безопасности и это только при беглом "знакомстве" с этими веб-сайтами. Что же ожидать при более тщательном тестировании? С интернет магазинами ситуация ещё хуже - почти все имею те или иные утечки конфиденциальной информации пользователя.
Вот наиболее типичные примеры нарушений безопасности:

• Персональная информация пользователя, такая как: имя регистрации (логин), пароль, e-mail и почтовый адрес, данные паспорта, индивидуальный идентификационный код, девичья фамилия матери и даже данные кредитной карты – всё это может открыто отправляться по интернет без какого либо кодирования (т.е. украсть эту информацию не просто а очень просто). Это всё равно что отправлять денежные купюры в почтовом конверте.
• Информация о ваших платежах доступна другим пользователям. Т.е. любой может увидеть когда и за что вы платили, где вы проживаете, какой у вас телефон, адрес, e-mail, ICQ и т.д. Можно только догадываться кто и как может воспользоваться этими данными, но можете поверить что мошенникам изобретательности не занимать.
• Встречается возможность внедрения хакерских ссылок, полей ввода и программного кода на сайтах известных банков и прочих компаний которым мы привыкли доверять (называется Cross Site Scripting). А это означает что злоумышленники могут запросить ваш пароль или данные кредитной карты от имени банка и вы им дадите всё что угодно без тени сомнения. Или просто на веб-странице вашего банка появится неподобающая этому солидному заведению информация или вы помимо своей воли можете оказаться совсем на другом сайте. Этот вид уязвимости обычно используется для "Фишинг" атак путём рассылки email зарегистрированным клиентам или путём публикации ссылок-наживок на популярных форумах.
• Так называемые SQL Injections - хакер средней руки может читать, вводить, изменять или уделять информацию напрямую в базе данных банка или интернет магазина. То есть «бери, не хочу» - всё зависит только от опытности и намерений взломщика.
• Возможен доступ к вашей регистрационной записи вообще без пароля и/или имени пользователя. Достаточно просто ввести «волшебное слово» в поле логина и пароля (в случае SQL Injection см. выше). Или хакер может перехватить ваш идентификатор пользователя после того как вы уже вошли на сайт и действовать от вашего лица но сугубо в своих интересах.
• Ваш компьютер может быть использован для проведения DOS (Denial of Service) атаки на сайт вашего банка или интернет магазина. При этом сайт бомбится «тяжёлыми» запросами до тех пор пока ресурсы сервера иссякнут. Инициаторы подобных атак могут преследовать разные цели, но ни для вас ни для вашего банка это ничего хорошего не сулит. В лучшем случае сайт будет не доступен вам некоторое время а в худшем ваши данные (например, о платежах или вкладах) могут быть безвозвратно утрачены.

Этот список можно продолжать и дальше.

Но больше всего поражает «откровения» персонала поддержки и руководства этих сайтов. Когда я, например, позвонил по телефону в службу поддержки одного известного интернет магазина чтобы предупредить о том что имена, пароли и другая информация пользователя не шифруются мне ответили (с большим апломбом) буквально следующее: «Персональная информация пользователя, никакой ценности не представляет, и вводится пользователем для его же удобства, поэтому он (пользователь) сам отвечает за то где, кому и какую информацию он предоставляет...». Если отбросить хамский тон ответа, то как не печально, но это правда – спасение утопающих дело рук самих утопающих.

Надеюсь что данная тема вызовет интерес. Возможно кто-нибудь может поделится своим "печальным" опытом на эту тему.

Отредактировано vadymm (2008-11-03 12:56:07)