Gratis email service Dolfijn/Ilse niet veilig

[e-mail]">oc2ØØØ schrijft: "Ik was net de logbestanden van mijn homepage aan het nakijken via een online tracker en klikte op een referer url van een bezoeker aan mijn page. Hierdoor kwam ik op een ILSE/Dolfijn gebruiker zijn online email page en was gelijk ingelogd en kon dus ook de email lezen."

oc2ØØØ stuurde ons ook de link waarmee hij deze fout ontdekt heeft en een simpele klik was voldoende om de email te lezen. De fout is inmiddels gemeld bij Ilse/Dolfijn.

Reacties (23)

[Verwijderd]

Een simpele uitbreiding op de beveiliging is te realiseren door een ipadres aan een session-id te koppelen. Evt. zou je ook nog het exacte browser type kunnen loggen. Dan heb je de kans op misbruik al een heel stuk verkleind. Alleen mensen die een proxy gebruiken, lopen dan nog een verhoogd risico...

[[BoSS]]

En tegenwoordig gebruikt er natuurlijk bijna niemand een proxy

[troje]

In Hotmail heb je de optie uit te loggen voordat je verder gaat surfen.....stuk veiliger.

[Verwijderd]

Op zich maakt het niet uit dat het met je querystring wordt verzonden...
Wat je wel zowiezo in zo'n situatie moet gebruiken is een session variable die gekoppeld is aan je querystring session variable... Heb je altijd een timeout en knappe jongen die er dan nog in kan komen..
Ben zelf veel bezig met ASP(vbscript) en IIS 5 en dit is koud kunstje om te implementeren... Is dus pure nalatigheid geweest...

[wildhagen]

Nou, ik moet zeggen : dit is wel héél knullig... dan heeft het wachtwoord van dat account dus op de één of andere manier in die referrer-URL gestaan !

[Verwijderd]

de url bestond uit de loginnaam plus een wazige sessionkey
dolfijn.ilse.nl/loggedin/?gotomail=0;login=naam;sessionkey=key

[mavink]

Oh... Dat valt dan op zich weer mee, ik neem aan dat die sessionkey maar een beperkte tijd geldig is. Maar toch, het is wel een beetje knullig.

[Verwijderd]

Dat hadden ze bij ilse makkelijk kunnen voorkomen door een referrer uit de headers te halen en die dan te checken tegen een waarde welke het had moeten zijn (en niet van buitenaf komend), op die manier kan je eenvoudig voorkomen dat mensen in je sessions gaan lopen hacken

[Verwijderd]

officeel is een dommein naam tog alleen voor bedrijven dacht ik, of stichtingen/instanties, sterker nog als jij niet ingeschreven bent bij de KvK kan jou ieder domain name afgenomen worden.,.... (mits tegenhangende partij wel KvK o.i.d in bezit heeft..)


ik gebruikte heel vroeger dolfijn :}
toen ik nog op me l33t 33k6 en op account van me broer zat te internetten

long long time ago =)

[Verwijderd]

Als jij een domeinnaam hebt geregistreerd van .com .net of .org dan wens ik iedereen
die dat domein probeert af te pakken van jou
veel succes..

je moet wel kunnen aantonen dat je het voor een hobby of wat ook heb geregistreerd...je moet niet handelsnamen gaan wegkapen..

ik zelf ben de eigenaar van zo'n 15 domeinnamen die ik allemaal gebruik en nog nooit geen problemen mee gehad.

[Tom]

Tegenwoordig is het wel mogelijk om je .com/.net/.org terug te eisen. De ICANN heeft hiervoor een speciale stichting voor opgericht die beslist of het domein wel of niet eigendom van je is.

[Oviparous]

Ik ben dit al een keer eerder tegengekomen:
in het lijstje statistiekjes van een Nedstat Basic teller staan onder het kopje "Vanaf welke URL kwamen de laatste 25 bezoekers?" links. Er stond een keer bij de teller van de homepage van iemand die ik ken een link naar de webmaster account bij zijn hosting provider (webprovider.com), dus ik klikken: ja hoor, ik kreeg gewoon de beheer-pagina van die provider ervoor, kon het wachtwoord wijzigen en alle bestanden wegvagen. De link bij Nedstat was op dat moment al een uur of 7 a 8 oud.

[Tom]

Dat vind ik dan raar, want volgens mij slaat Nedstat wel de URL op maar niet de query-string (dus achter de ?, iets wat mij toch wel normaal lijkt bij een beheerpagina).

[tom kuipers]

Daarom sla ik hem altijd op in een cookie...

[frankvanhoesel]

Je moet hem dus NOOIT opslaan in een cookie. Als er dan een of ander script kiddie op je pc is geweest en zoekt ff op de bekende cookie's van Dolfijn/Ilse, dan vind hij een schat aan informatie over jouw als gebruiker

Daarom kun je dat beter alleen doen als je een goede up-to-date firewall gebruikt. En als je die ook regelmatig checkt op inconsistentie.

Wat je natuurlijk ook kunt doen is je computer niet meer met het internet verbinden, dan weet je zeker dat er geen script-kiddie's opkomen, en heb je geen firewall meer nodig.

Maar als je gebruik wilt maken van Dolfijn ...

[Paul]

Zo heel goed ben ik niet met CGI, maar al die info in de url wordt vanaf het FORM op de pagina van de POST-methode doorgegeven aan het cgi-script, zodat deze weet wat te doen. Nu weet ik niet wat het nadeel is van de GET-methode (info apart opsturen ipv in url c-p'en), maar zo kun je iig niet via een URL iemands mail zien...

BTW, kan zijn dat ik post en get omdraai

[Verwijderd]

je draait post en get idd om. Ik gebruik bij perl altijd post en bij php altijd get
Maar zoals je ziet kan het in deze gevallen beter gepost worden

[PoisonouZ]

dit is al tijden zo... je kon daar ook altijd inloggen door je mailbox te bookmarken...

maarja... dat was wel makelijk maar is ook weer niet veilig

[Verwijderd]

nou das dan lekker.. ik vind ut zowiezo niks.. tegenwoordig bieden iedere website zon gratis emailadres aan.. is ook lekker makkelijk en gratis te doen voor die webmasters bij bijv.. www.outblaze.com en www.everyone.net

nadeel is dat andere bedrijven denken het zelf te kunnen maken en die vervolgens er een slechte beveiliging op na houden.....

ik hou het gewoon bij hotmail.. als ik al een gratis emailadres uberhaupt nodig zou hebben
beetje tweaker heeft volgens mij wel minimaal 1 domeinnaam geregistreerd.