Zabezpieczenia w... głowach

Nie ma nic gorszego w życiu małego trybika w machinie zwanej korporacją, jak ten przypadający na trzy ostatnie miesiące roku okres. Z jednej strony - wszystko, czego się nie zrobiło przez pierwszych 9, należy nadrobić. Z drugiej strony - trzeba już planować kolejny rok. I tak z dnia na dzień, od poniedziałku do piątku. A w połowie listopada to już od poniedziałku do niedzieli, włącznie. I, nie boje się tego słowa, pasje schodzą na dalszy plan. W okolicach 15 grudnia poza pracą jedyną pasją pozostaje oddychanie, jedzenie i spanie. No ale skoro jeszcze nie ma 15 grudnia, to postanowiłem, że jednak znajdę kilkadziesiąt minut by zatkać niebezpiecznie poszerzającą się dziurę w ilości miesięcy bez wpisu.

Gorzej jednak z tematem... Win8? Konkurencja jest taka, że nie ma sensu nawet startować. Osiemnasta wojna portalowo systemowa? Wybaczcie, ale poziom dyskusji doszedł do takiego poziomu abstrakcji, że nie jestem pewny czy jestem w stanie mu dorównać (z całym szacunkiem, dlaczego nikt nigdy nie chce do końca ze mną polemizować w takich dyskusjach?!)*. Ale... ale z drugiej strony, tknęło mnie coś w tych wojenkach. Poziom zabezpieczeń systemu operacyjnego w kontekście przewagi jednego nad drugim. Wpis więc będzie o skype.

Zabezpieczenia

A tak, właśnie o skype. Bo de facto to poważna luka w zabezpieczeniach skype natchnęła mnie kolejny raz do pisania. W krótkich, żołnierskich słowach na czym polegał problem:

• Atakujący znający adres email, na którym zarejestrowany jest skype ofiary tworzy kolejne konto na ten sam adres. Szczęśliwie i bez problemów loguje się na konto.
• Poprzez na przykład stronę internetową rozpoczyna procedurę zmiany hasła z powodu jego zapomnienia
• Informacja o próbie zmiany hasła przychodzi na maila ofiary... oraz na zalogowanych klientów (śmieszny popup z notyfikacją)
• Atakujący korzysta z linka w popupie (z tokenem), wybiera z listy faktyczne konto ofiary, zmienia hasło.

Koniec. Proste, prawda? Tyleż proste, co niezależne od systemu, języka programowania, niechlujnego programowania, czy struktury folderów i braku dysk C. Kto więc zawinił? Zawinił człowiek ze zbyt skromną wyobraźnią odpowiedzialny za wdrożenie tej funkcjonalności. Nawiasem mówiąc - nie on pierwszy. Okazuje się, że Amazon pozwalał na dodawanie kolejnej karty kredytowej przez telefon weryfikując tylko adres zamieszkania. Po dodaniu karty można było już bez przeszkód zmienić hasło do konta (weryfikowany był przy tej okazji właśnie numer jednej z kart kredytowych).

w głowach

No i proszę pięknie. Okazuje się, nie pierwszy raz zresztą, że winny pozostaje ten sam czynnik - człowiek. Omylny jak zwykle. I nic tu do rzeczy nie ma otwartość/zamkniętość kodu, społeczność/konsumenci aplikacji i inne tego typu stereotypy. Po prostu - stało się tak samo, jak stłuczka na drodze. Szkoda więc czasu na doszukiwanie się boskiego pierwiastka w stu tysiącach linijek kodu, doklejanie filozofii do położenia guzika minimalizującego okno, albo gloryfikowanie sposobu instalacji aplikacji. Trend ten przejdzie (mam nadzieję) jak awersja do leworęczności.

Koniec

No i co teraz? Straszyć sloganami, że żadne zabezpieczenie nie jest pewne? Że jak ktoś się zaprze to znajdzie na nas sposób? A może ewangelizować w przeciwnym kierunku? Nauczać, że przede wszystkim ostrożność i ubieranie grubych rękawic przy kontakcie z klawiaturą uchroni przed chorobami zakaźnymi i innymi przykrościami? Wszędzie tego pełno, więc czytelniku - korzystaj do woli.

PS. Wpis jest wybitnie o niczym. Czuje to tak samo jak Ty, droga czytelniczko, drogi czytelniku. Tylko, że z pisaniem u mnie jest jak ze spacerowaniem po lesie. Pożytku z tego wielkiego nie ma, zysków żadnych, na tle drzew za to wyraźnie odcina się komin elektrowni. Ale jakoś tak... po prostu fajnie się wyrwać.

*to ironia. Sory, że tłumaczę, ale czasem mam wrażenie, że jestem niezrozumiały.