Ponad 700 000 osób mogło zostać narażonych przez lukę w aplikacji Watykanu do modlitwy

Specjaliści od bezpieczeństwa wykryli w styczniu lukę bezpieczeństwa w oficjalnej aplikacji Watykanu Click to Pray. Musiało minąć pół roku, aż błąd został naprawiony, gdy eksperci wysyłali kolejne maile i byli zbywani milczeniem. Według doniesień wystarczyła jedna linijka kodu do sprawdzenia dowolnego użytkownika aplikacji. Skrytykowano także infrastrukturę Click to Pray, która działa w podstawowej technologii.

Click to Pray z Watykanu ujawniało informacje o wiernych

Click to Pray jest oficjalną aplikacją Watykanu służącą do modlitwy. Użytkownicy mogą z niej korzystać z poziomu aplikacji mobilnej oraz przez przeglądarkę. Okazało się, że jej twórcy nie chronią ponad 700 tysięcy użytkowników, ponieważ korzystając z luki bezpieczeństwa można było zdobyć następujące dane:

1. imię i nazwisko;
2. datę urodzenia;
3. kraj pochodzenia;
4. adres e-mail;
5. status konta (czy posiada uprawnienia administratora.

Źródło: bobdahacker.com

Problem zauważył ekspert ds. bezpieczeństwa o pseudonimie BobDaHacker, który próbował skontaktować się z 9 różnymi osobami, z których 6 było przypisanych do domeny clicktopray.org, 2 do popesprayer.va, a 1 adres był ogólnoinformacyjny. Nigdy jednak nie otrzymał odpowiedzi, a Click to Pray było pełne szkolnych błędów. Jego zdaniem program stał na infrastrukturze, którą tworzy się „w drugim tygodniu bootcampu programistycznego”.

BobDaHacker przekazał, że podczas rejestracji każdy użytkownik otrzymywał ID o następujących po sobie numerach. Serwer wiedział, gdy dana osoba się zalogowała, ale nie weryfikował, czy ma uprawnienia do otrzymania informacji przypisanych do innego ID. Ekspert dodał, że wystarczyła linijka kodu w Pythonie „for i in range(1, 719518): scrape()” i podmieniając numer ID pobierało się wszystkie dane użytkownika.

Powiązane:Złe wieści dla Valve. Steam Frame może trafić na rynek w trudniejszym momencie niż zakładano

Co istotne, aplikacja automatycznie weryfikowała każde zarejestrowane konto. Można było je założyć na fikcyjny adres e-mail i zweryfikować konto bez wchodzenia na skrzynkę. Poza tym wiadomości wysyłane przez Click to Pray nie posiadały odpowiednich rekordów do autoryzacji poczty, więc oficjalne maile wyglądały jak próba phishingu (próba oszustwa polegająca na przejęciu danych wrażliwych użytkownika).

Sprawą zainteresował się serwis Dark Reading, który także podjął próbę kontaktu z twórcami Click to Pray, co zakończyło się porażką. Ostatecznie aplikacja została naprawiona, poprawnie weryfikuje użytkowników i nie daje dostępu do danych wrażliwych każdemu. BobDaHacker jest jednak rozżalony tym, że nie otrzymał żadnej informacji oraz podziękowań. O naprawie Click to Pray dowiedział się z Reddita.

Więcej:Firmy technologiczne świadomie używają nazw z Władcy Pierścieni, dzięki czemu myślisz, że są tymi dobrymi

• religia
• tech
• oszustwa