Что нужно сделать когда я нашел баг в чужой ИС?

Question

[john_samilin]

Добрый день,
я зарегистрировался на сайте некой зарубежной государственной организации. Попробовал восстановить пароль - и пароль пришел мне в письме в открытом виде. То есть в базе пароль хранится в незашифрованном виде. Это очевидный пробел в плане информационной безопасности!
Что мне делать дальше? Написать этой организации с просьбой изменить формат хранения данных? Такой ли это ужасный косяк?

Answer 1

[mamkaololosha]

> То есть в базе пароль хранится в незашифрованном виде
Никто не мешал серверу дешифровать пароль из md5. Так что нельзя сказать, как они там хранятся.

Comments

[john_samilin]

это же необратимый хеш. или я что-то путаю? и с точки зрения ИБ нормально ли иметь возможность расшифровать пароль?

Answer 2

[Роман Франк]

Напиши им на почту, расскажи о проблеме

Answer 3

[Оптимус Пьян]

Вы не знаете как он в базе хранится пока не видите базу, может он там зашифрован: достали, расшифровали и отправили вам в письме )) А вот то что в открытом виде в письме посылают а не дают ссылку на восстановление - это конечно небезопасно немного уже.

Comments

[john_samilin]

А как аргументировать в том случае, если они ответят: "И чо?"

[Оптимус Пьян]

john_samilin: это их проблемы, зачем вам думать за других? Или вы на это сервисе свои интим-фотки храните? ))))

[john_samilin]

нет, я их в другом месте храню :) просто я хочу чтобы везде все было по уму

Answer 4

[azShoo]

Вариант 1:
Написать письмо. Вероятнее всего проигнорируют, если не проигнорируют - то не ответят. Если и ответят, то не исправят.

Вариант 2:
Смириться с несовершенством мира.

Увы и ах, миллионы и миллионы сервисов присылают письмо с паролем в открытом виде (хотя это, само по себе, гораздо менее безопасно, чем хранить его в бд в открытом виде).
Некоторые даже вместе с ответом на секретный вопрос.
Почему? Ответ прост: всем, мягко говоря, не особо волнительно от этого факта.

Вариант 3:
Проэксплуатировать эту уязвимость, получить непредназначенные вам данные, связаться с СБ и объяснить.
Велика вероятность получить люлей.

Так же замечу, что в большинстве случаев, хранение пароля в открытом виде - не самая серьезная уязвимость.

Answer 5

[cssman]

Пиши скрипт, эксплуатирующий эту уязвимость. Выгружай большую базу логин-пароль + метаданные. Дальше вариант либо незаконно использовать и вероятно понести наказание, либо предоставить в СБ, желательно на посты повыше, либо непосредственно выходить на руководящие должности.
Если получится проэксплуатировать уязвимость (в чём я сильно сомневаюсь) и в организации не дураки - сделаешь мир ИБ чуточку лучше и(или) заработаешь денег, но не факт.

Answer 6

[Ainur Shakirov]

Это не совсем баг. Присылать пароль в открытом виде не хорошо конечно, но не смертельно.
У самого в бд хранятся зашифрованное данные, не сложным методом, но все же, и перед как их использовать, просто расшифровываю)..
Хотя паролей у меня вовсе нет :D