@dinikin29 мая 2015 в 09:24

Читаем переписку клиентов Ubank с саппортом

2 мин

27K

Информационная безопасность * Платежные системы *

+46

Комментарии 14

@HangGlider 29 мая 2015 в 10:48

Ща почитаем :)

@russum 29 мая 2015 в 11:51

Клёва, сделал похожую установку, нашел у себя кучу уязвимых приложений некоторые из которых хоть и отправляют с запросами куки/токены/пароли но в тоже время абсолютно не проверяют это все на стороне сервера и подмена парамеров возвращает чужие данные…

Из самого интересного:

— приложение для вызова такси (~10 служб в одном приложении) которое при подмене номера телефона на чужой в запросе вернет кучу информации о предыдущих/текущих закзах с подробной информацией о времени, адресах (+геотеги), перемещениях, ценах и много всего другого…

— приложение для заказа доставки суши на дом которое отправляет параметр «verified=0» виесте с адресом доставки, заменив параметр на «verified=1» — можно анонимно заказать суши на любой адрес без предварительного звонка/подверждения со стороны суши-ресторана.

@splav_asv 30 мая 2015 в 09:58

— приложение для заказа доставки суши на дом которое отправляет параметр «verified=0» виесте с адресом доставки, заменив параметр на «verified=1» — можно анонимно заказать суши на любой адрес без предварительного звонка/подверждения со стороны суши-ресторана.

Отлично! Никогда не любил эти звонки. Особенно неприятно, если сейчас не можешь говорить, а заказать хочется.

@marinaler 29 мая 2015 в 14:07

Данная проблема уже исправлена. Спасибо, за пост и внимание к нашему сервису.

@ReaM 29 мая 2015 в 14:23

Ну зачем-же нужно было доводить это до крайности, а не исправить сразу?

@Homakov 29 мая 2015 в 22:58

if об этом уже написали на хабре?
исправляем
else
да ну чот лень
end

@chemistmail 30 мая 2015 в 08:07

Проблема в том что обновить сервисы можно быстро, а вот мобильные клиенты быстро обновить не получится.
Так что «сразу» проблематично, и это касается любого сервиса имеющего клиент серверную архитектуру и завязанного на тыкалки.

@Suvitruf 30 мая 2015 в 09:07

2 месяца, Карл! (с)

@chemistmail 30 мая 2015 в 12:20

И какой процент пользователей обновит клиент?

@Suvitruf 30 мая 2015 в 12:26

Подобные вещи надо изначально закладывать. К примеру, чтобы при старте приложения было обращение к серверу на получение статуса/новостей/обновлений. Если обновление критическое, то выдавать сообщение, чтобы пользователи зашли в GP и обновили приложение.

@spbdimka 29 мая 2015 в 14:08

Ручки зачесались… сейчас проверим одно интересное приложение

@Revertis 29 мая 2015 в 14:44

В прошлом году и Альфа-Банк не использовал SSL Pinning, сейчас не знаю…

@nikitasius 29 мая 2015 в 23:05

Собственно это и есть подтверждения отличия российского саппорта от иностранного: в России юзер это враг и головна боль, а в иностранной это клиент и feedback.
Доводить до крайности — глупее не придумать. Или это имидж большой компании и больших денег, когда на ~~клиентов~~ мелочи вниманию не обращают?

НЛО прилетело и опубликовало эту надпись здесь

Зарегистрируйтесь на Хабре, чтобы оставить комментарий