Vlákno názorů k článku Možná se dostanete do cizí schránky na Centrum Mail, účty jsou ale prý v bezpečí od Ondra - Ach jo, víš vůbec, co je to proxy...

Ach jo, víš vůbec, co je to proxy server?

Však tady se ani nemluví o tom, že by někdo prolomil bezpečnost na straně serveru, je to spíš podobné tomu, když se někdo přihlásí v internetové kavárně k mailu, odběhne na záchod a vy si sednete k jeho počítači.

Pokud ten "cizí login" nikdy přes danou proxy nepřistupoval, pak by to byla samozřejmě jednoznačně chyba jen a pouze cílového systému.

Pokud ale proxy _například_ ignoruje cookies, nebo je třeba v odchozích požadavcích nahrazuje nějakou stále stejnou hodnotou, tak co s tím má asi cílový systém dělat?

Jinak řečeno, pokud uživatel přistupuje přes nedůvěryhodnou síť, tak musí počítat s nedůvěryhodnými odpověďmi.

Libovolny prostrednik v ceste jednoduse nemuze ovlivni blbe nastavenou bezpecnost na strane serveru.

lol ... zeby nekdo z centra? Od kdy muze chyba na mem pocitaci za to, ze se prihlasim do ciziho systemu pod cizim loginem? V takovem pripade je VZDY a zcela jednoznacne chyba na strane provozovatele toho systemu - on je jediny kdo muze a tudiz musi login zabezpecit. Pokud pro to zvoli zcela nevhodne technologie, je to jen a pouze jeho chyba.

No to je pravda, ale bylo něco podobného pozorováno "in the wild" tou proxy co cachuje , nebo je to jen teoretický konstrukt?

Jinak, dalším poměrně účinným způsobem obrany je kryptování URL, které pomáhá i proti podvrhování URL.

K poslednímu odstavci: No, dalo by se to celé tahat po HTTPS - což by ale zase přineslo jiné problémy :)

Jak ten mechanismus nastavit, to opravdu netuším. Možná zrušením funkce "zapamatovat" u přihlašovacího okna? Alespoň jako workaround? Pak nasazením https do celé struktury webmailu i za cenu zpomalení komunikace? Já opravdu netuším, jak zabránit zneužití cookies pomocí proxy.

Ten vůl pošťák je ta vaše proxy. Jak má odesílatel (server, nikoli pošta!) podle vás nastavit mechanismus, aby jeho zásilku nedoručovali lidi s nějakou konkrétní mentální dysfunkcí či s nižším intelektem? Protože tohle je problém někde v té doručovací infrastruktuře, která už je mimo dosah odesílatele.

Tak je to možná chyba celé autentizační technologie, kterou Centrum.CZ využívá. Chyba je určitě z části na straně proxy a z části na straně centra. Centrum totiž umožní vstup do schránky při chybě externích systémů.

Jak by se vám líbilo, když byste měl od dveře od bytu u s bezpečnostním zámkem, které by šly mimo jiné odemknout nekvalitním klíčem, ukovaným na koleně, který by se originálnímu klíči navíc vůbec nepodobal. Zámek by neměl vůbec přijmout takový klíč.

Prostě je tu problém, pojďme ho řešit a ne o tom polemizovat v diskuzi a osočovat novináře. Od toho jsou jiní borci.

Vůbec nezpochybňuji, že problém existuje. Pouze zpochybňuji páně Dočekalovo "evidentní" tvrzení, že se jedná o chybu Centra, naopak považuji za pravděpodobné, že za to může vaše proxy. Daty to podložené nemám (ale to pan Dočekal chybu Centra také ne), pouze cca 15 lety zkušeností se síťovými protokoly.

Howgh.

Zajímavá metafota s idiotem pošťákem.... Pak je třeba na straně poštovního úřadu nastavit takové mechanismy, aby poštu nemohli doručovat idioti :-) I když... v našem případě nevstupuje do procesu lidský faktor :-)

Martine Mareši,

v době, kdy se mi tato chyba přihodila, jsem nesebral logy z proxy hned, neb jsem netušil, že by mohl být problém právě v proxy. A podložené to samozřejmě je opakovaným testováním za přítomnosti technika Centra, jak je uvedené v článku. Zdá se, že vy nemáte v ruce nic, ale přesto to Vaše "nic" slouží jako velký argument ke zpochybnění celého článku.

Jak už jsem psal, chybná proxy vám může vydat jakákoliv data, která přes ni v minulosti protekla, a server na tom nic nezmění.

Zprasená proxy, která uživateli poskytne údaje patřící jinému uživateli (v tomto případě zřejmě session cookies), je principiálně problém naprosto mimo server. To byste taky mohl tvrdit, že když máte za pošťáka idiota, který hodí dopis určený vám do schránky vašeho souseda, tak je to chyba odesílatele.

Právě proto, že se jedná o problém, který byl za minulé roky pozorován (nebo alespoň zveřejněn) jen tak řídce, považuji za velmi pravděpodobné, že se jedná o chybnou proxy. Ostatní symptomy tomu také nasvědčují.

Vaše tvrzení, že se to tohoto případu netýká, je sice kategorické, ale naprosto nepodložené. Pokud máte v ruce jakákoliv fakta, nejlépe záznam komunikace mezi serverem a klientem, ze kterého bude vidět, co se vlastně stalo, sem s nimi. Pak se konečně přesuneme na půdu seriózní technické diskuse namísto bulvární novinařiny.

Pokud by měla být klíčem pro přístup do cizí schránky doprasená proxy, tak je to selhání bezpečnostních mechanismů na straně serveru.

Pane Dočekale, píšete: "V případě použití cookies pro udržení sezení (session) žádný proxy server nemůže vstoupit do hry."

Tím se usvědčujete z fatální neznalosti toho, jak funguje HTTP a proxy servery zvláště. Než o tom příště zase něco plácnete, nechcete si o tom, jak HTTP funguje, konečně něco přečíst? Nejlépe specifikaci.

Přes proxy server prochází veškerá komunikace mezi serverem a klientem. Proxy ji může naprosto libovolně modifikovat a použití cookies na tom nic nemění. Korektně implementovaná proxy (a takových je většina) samozřejmě zachovává sémantiku jednotlivých požadavků a data z různých sessions důsledně odděluje.

Jenže ne každá proxy se chová podle standardu (nebo aspoň podle zdravého rozumu): za ta léta, co se sítěmi zabývám, jsem potkal dost takových, které porušovaly standard HTTP snad všemi myslitelnými způsoby a byly schopny uživateli vydat například rok starý obsah či odpověď na dotaz poslaný s jinými cookies, případně obsah stránky s úplně jiným URL.

Pokud sedíte za takovouhle proxy, může se s vašimi daty stát naprosto cokoliv. Provozovatel serveru, ke kterému se připojujete, to může sotva ovlivnit, nanejvýš by se mohl pokusit chybnou proxy rozpoznat a zobrazit vám důrazné varování, že vaše data nejsou v bezpečí.

Pane Dočekale, znáte-li nějaký způsob, jak se těmto problémům spolehlivě vyhnout, budu rád, když se o něj podělíte.