ການໂຈມຕີ HackerOne, ອະນຸຍາດໃຫ້ເຂົ້າເຖິງບົດລາຍງານຄວາມອ່ອນແອສ່ວນຕົວ

ແພລະຕະຟອມ HackerOne, ເຊິ່ງອະນຸຍາດໃຫ້ນັກຄົ້ນຄວ້າດ້ານຄວາມປອດໄພແຈ້ງໃຫ້ນັກພັດທະນາກ່ຽວກັບການກໍານົດຈຸດອ່ອນແລະໄດ້ຮັບລາງວັນສໍາລັບການນີ້, ໄດ້ຮັບ. ລາຍງານ ກ່ຽວກັບການ hack ຂອງທ່ານເອງ. ຫນຶ່ງໃນນັກຄົ້ນຄວ້າໄດ້ຄຸ້ມຄອງການເຂົ້າເຖິງບັນຊີຂອງນັກວິເຄາະດ້ານຄວາມປອດໄພຂອງ HackerOne, ຜູ້ທີ່ມີຄວາມສາມາດໃນການເບິ່ງອຸປະກອນການຈັດປະເພດ, ລວມທັງຂໍ້ມູນກ່ຽວກັບຈຸດອ່ອນທີ່ຍັງບໍ່ທັນໄດ້ແກ້ໄຂ. ນັບຕັ້ງແຕ່ການເລີ່ມຕົ້ນຂອງເວທີ, HackerOne ໄດ້ຈ່າຍເງິນໃຫ້ນັກຄົ້ນຄວ້າທັງຫມົດ 23 ລ້ານໂດລາເພື່ອກໍານົດຈຸດອ່ອນໃນຜະລິດຕະພັນຈາກລູກຄ້າຫຼາຍກວ່າ 100, ລວມທັງ Twitter, Facebook, Google, Apple, Microsoft, Slack, Pentagon, ແລະກອງທັບເຮືອສະຫະລັດ.

ມັນເປັນທີ່ສັງເກດວ່າການຄອບຄອງບັນຊີໄດ້ກາຍເປັນຄວາມເປັນໄປໄດ້ຍ້ອນຄວາມຜິດພາດຂອງມະນຸດ. ຫນຶ່ງໃນນັກຄົ້ນຄວ້າໄດ້ສົ່ງຄໍາຮ້ອງສະຫມັກສໍາລັບການທົບທວນຄືນກ່ຽວກັບຈຸດອ່ອນທີ່ອາດຈະເກີດຂຶ້ນໃນ HackerOne. ໃນລະຫວ່າງການວິເຄາະຄໍາຮ້ອງສະຫມັກ, ນັກວິເຄາະ HackerOne ໄດ້ພະຍາຍາມເຮັດຊ້ໍາວິທີການ hacking ທີ່ໄດ້ສະເຫນີ, ແຕ່ບັນຫາບໍ່ສາມາດຜະລິດຄືນໃຫມ່ໄດ້, ແລະການຕອບສະຫນອງໄດ້ຖືກສົ່ງໄປຫາຜູ້ຂຽນຂອງຄໍາຮ້ອງສະຫມັກທີ່ຮ້ອງຂໍລາຍລະອຽດເພີ່ມເຕີມ. ໃນເວລາດຽວກັນ, ນັກວິເຄາະບໍ່ໄດ້ສັງເກດເຫັນວ່າ, ຄຽງຄູ່ກັບຜົນຂອງການກວດສອບບໍ່ສໍາເລັດ, ລາວໄດ້ສົ່ງເນື້ອໃນຂອງກອງປະຊຸມຂອງລາວໂດຍບໍ່ໄດ້ຕັ້ງໃຈ Cookie. ໂດຍສະເພາະ, ໃນລະຫວ່າງການສົນທະນາ, ນັກວິເຄາະໄດ້ໃຫ້ຕົວຢ່າງຂອງຄໍາຮ້ອງຂໍ HTTP ທີ່ເຮັດໂດຍ curl utility, ລວມທັງ HTTP headers, ຈາກທີ່ລາວລືມທີ່ຈະລ້າງເນື້ອໃນຂອງ session Cookie.

ນັກຄົ້ນຄວ້າໄດ້ສັງເກດເຫັນການຄວບຄຸມນີ້ແລະສາມາດເຂົ້າເຖິງບັນຊີທີ່ມີສິດທິພິເສດໃນ hackerone.com ໂດຍພຽງແຕ່ໃສ່ຄ່າ Cookie ທີ່ສັງເກດເຫັນໂດຍບໍ່ຈໍາເປັນຕ້ອງຜ່ານການກວດສອບຫຼາຍປັດໃຈທີ່ໃຊ້ໃນການບໍລິການ. ການໂຈມຕີເປັນໄປໄດ້ຍ້ອນວ່າ hackerone.com ບໍ່ໄດ້ຜູກມັດເຊດຊັນກັບ IP ຫຼືຕົວທ່ອງເວັບຂອງຜູ້ໃຊ້. ID ເຊດຊັນທີ່ມີບັນຫາຖືກລຶບສອງຊົ່ວໂມງຫຼັງຈາກລາຍງານການຮົ່ວໄຫຼໄດ້ຖືກເຜີຍແຜ່. ມັນໄດ້ຖືກຕັດສິນໃຈທີ່ຈະຈ່າຍໃຫ້ນັກຄົ້ນຄວ້າ 20 ພັນໂດລາສໍາລັບການແຈ້ງໃຫ້ຊາບກ່ຽວກັບບັນຫາ.

HackerOne ໄດ້ລິເລີ່ມການກວດກາເພື່ອວິເຄາະຄວາມເປັນໄປໄດ້ຂອງການຮົ່ວໄຫຼ Cookie ທີ່ຄ້າຍຄືກັນໃນອະດີດ ແລະເພື່ອປະເມີນການຮົ່ວໄຫຼຂອງຂໍ້ມູນທີ່ເປັນເຈົ້າຂອງກ່ຽວກັບບັນຫາຂອງລູກຄ້າບໍລິການ. ການກວດສອບບໍ່ໄດ້ເປີດເຜີຍຫຼັກຖານຂອງການຮົ່ວໄຫລໃນອະດີດແລະໄດ້ກໍານົດວ່ານັກຄົ້ນຄວ້າທີ່ສະແດງໃຫ້ເຫັນບັນຫາສາມາດໄດ້ຮັບຂໍ້ມູນກ່ຽວກັບປະມານ 5% ຂອງບັນດາໂຄງການທັງຫມົດທີ່ນໍາສະເຫນີໃນການບໍລິການທີ່ສາມາດເຂົ້າເຖິງນັກວິເຄາະທີ່ຄໍາຫລັກຂອງກອງປະຊຸມໄດ້ຖືກນໍາໃຊ້.

ເພື່ອປ້ອງກັນການໂຈມຕີທີ່ຄ້າຍຄືກັນໃນອະນາຄົດ, ລະຫັດ session ຈະຖືກຜູກມັດໄວ້ກັບ ທີ່ຢູ່ IP ແລະ ການກັ່ນຕອງລະຫັດເຊດຊັນ ແລະ ໂທເຄັນການພິສູດຢືນຢັນຕົວຕົນໃນຄຳເຫັນ. ໃນອະນາຄົດ, ການເຊື່ອມໂຍງ IP ໄດ້ຖືກວາງແຜນທີ່ຈະປ່ຽນແທນດ້ວຍການເຊື່ອມໂຍງກັບອຸປະກອນຂອງຜູ້ໃຊ້, ຍ້ອນວ່າການເຊື່ອມໂຍງ IP ບໍ່ສະດວກສຳລັບຜູ້ໃຊ້ທີ່ມີທີ່ຢູ່ທີ່ຖືກກຳນົດແບບໄດນາມິກ. ມັນຍັງໄດ້ຕັດສິນໃຈທີ່ຈະຂະຫຍາຍລະບົບການບັນທຶກດ້ວຍຂໍ້ມູນກ່ຽວກັບການເຂົ້າເຖິງຂໍ້ມູນຂອງຜູ້ໃຊ້ ແລະ ຈັດຕັ້ງປະຕິບັດຮູບແບບການເຂົ້າເຖິງລະອຽດສຳລັບນັກວິເຄາະຂໍ້ມູນລູກຄ້າ.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru