Kritická zranitelnost v aplikaci Moje eZdravie na Slovensku (diskuse)

[David Heidelberg]

... jen se chci podělit o svůj záchvat smíchu. Tak to dopadá, svěřit svá data nekompetentnímu zpracovateli..

[Liska]

Taky se směju. Pamatuji si po "sametovém" převratu že byly ve městech na každém vchodu seznamy voličů se stejnými daty.... Jenom vzpomínka )

[otula]

Naše SVJ mělo podobně zabezpečené stránky. Byla tam „neveřejná“ stránka, která vyžadovala heslo, ale na to, jak to obejít, by přišlo i dítě. Bylo tam 8 různých stránek, přičemž jejich URL adresa byla index.php?strana=1 až 8, přičemž strana 7 v menu chyběla. Stačilo ji tedy zadat do URL a člověk byl bez hesla na té utajované stránce

[m.]

Nejlepsi je jeste takovou stranku zminit v robots.txt, protoze co kdyby to google chtel nahodou naindexovat (uz sem to taky zazil).

[otula]

[Ptr]

svěřit svá data nekompetentnímu zpracovateli..

Státu?

[xvasek]

Škoda, že to opravili. Aspoň se daly konečně získat nějaká trochu lepší data. Jinak já bych evidoval ještě pravděpodobný datum nákazy, pravděpodobný způsob nákazy (v práci / nákup / diskotéka), profesi a možná by mě napadlo ještě něco dalšího. S takovými daty by Covid byl už jenom námětem vášnivých diskusí na dezinformačních webech.

[Max]

Teď je otázkou, kde nastala skutečně chyba. Jsem myslel, že nasazením podobných app předchází např. penetrační testování.
Zdar Max

[pushkin]

Já bych spíš tipoval, že nasazení podobných appek předchází spíchnutí horkou jehlou. Docela by mě zajímalo, jak by dopadla naše eRouška...

[Odin1918]

Desi mne, kolik zmanipulovanych lidi tomu sverilo sva data.

[Odin]

Vy si myslite, ze to bolo dobrovolne? Jak boli ostestovani, tak vsetky data co dali hygiene sli automaticky do tej DB. Tie data su na urovni lekarskych zaznamov, akurat ich ochrana bola spravena tak klasicky po nasom - nijak.

[Andrej]

v tomto kontexte sa mi vemi paci dovod preco callcentra nemozu pomahat hygiene s trasovanim - callcentra nemaju prislusnu "previerku" na nakladanie s medicinskymi datami

[MadCatX]

Job. Well. Done!

Teď zbývá počkat, za jak dlouho leaknou kompletní geolokační data z eRoušky.

[RB]

eRouška AFAIK žádná geolokační data nesbírala. Posílala jen Bluetooth ID, s kterými se člověk potkal, a měla spárované telefonní číslo s BID uživatele, aby se mu mohla hygiena ozvat. u eRoušky 2 už tam nefiguruje ani to telefonní číslo. Mělo by to fungovat tak, že aplikace si lokálně ukládá BID, s kterými se potkala. Když je člověk nakažený, tak teprve v ten moment odevzdá svoje BID, které se zapíše do databáze, kterou si aplikace pravidelně stahují a pokud najdou shodné BID v lokální databázi, nahlásí uživateli kontakt s nakaženým. A to BID se AFAIK pravidelně mění, aby to nebylo tak jednoduše trasovatelné.

[BFU]

Proc vlastne je potreba nejaka aplikace, kdyz jak A tak G na to maji primo v OS podporu, viz:

https://rosenzweig.io/blog/fun-and-games-with-exposure-notifications.html

[BFU]

Odpovim si sam, ta aplikace je podle vseho jenom nejaky frontend pro to Exposure Notification API.

[Mennion]

Jenom pro zábavu doporučuju mrknout na zdroják frontendu.

https://mojeezdravie.nczisk.sk/app/controllers.js

Konkrétně na funkci $scope.getNotificationsData = function (limit, offset) :D

[Jogurt]

A co? Dělám to taky takhle a nikdo si nikdy nestěžoval

[Mennion]

Jako fakt Ti nepřijde divný psát takovýhle dotaz přímo na klientu? Když pominu, že zbytečně publikuješ databázové sechéma veřejnosti, tak si koleduješ o SQL injection. O tom, že tohle nějak udržovat a opravovat (třeba při změně datového modelu) musí být peklo na zemi.

[Jogurt]

Injekcí se nebojim, nejsem dítě.

[mirec]

Lenže toto je query websql, beží to len na klientovi a databáza je len u kleinta. Databázovú schému aj tak vidí klient a sql injection si môže urobiť max. tak sám na sebe.

[.]

A proč je to v HTTP POSTu?

[mirec]

Aha, tak potom to je asi totálna zraniteľnosť. Keď som si spomínal na ten kód pripadalo mi to, že pracuje s websql a keď som na to chcel pozrieť druhý krát tak tam už zdroják nebol. Zle som si to pamätal, sorry ;) V tom prípade amatérizmus level najvyšší.

[AP]

To je query do databázy? Čiže sa dá užívateľsky meniť?

[Mennion]

Tipnu si, že to bude query přímo do db.

Ani si nechci raději domýšlet, co by se stalo kdyby localStorageService.get('user_id') vracel OR 1=1

[chochi]

Te neni ani SQL Injection, to je primo SQL over HTTP.

[Andrej]

nemas niekde kopiu? dnes cela https://mojeezdravie.nczisk.sk/app/ nejako neodpoveda...

[Peter Golis]

Opýtaj sa Debiana, možno bude blog s obrázkom.

[jiwopene]

https://web.archive.org/web/20200917203103/https://mojeezdravie.nczisk.sk/app/controllers.js

[Andrej]

hmm, dalsie relevantne subory tam ale nie su. Fakt to nema niekto stiahnute cele (nemyslim data, ale tie skripty)?

[/dev/random]

nemate niekto dump ? :D

[Peter Golis]

Krásna ukážka GDPR v praxi.

Zaujímalo by ma kto bol za toto zodpovedný, kto zaplatí nápravu, komu vyrúbia pokutu za porušenie GDPR a kto tú pokutu v konečnom dôsledku aj zaplatí.

Pevne verím že zodpovedného úradníka neuoracú do iného úradu (aj s eventuálnym povýšením), že dodávateľ neodvrkne "na porušovanie záväzných nariadení EK sa nevzťahuje záruka" a že si daný úrad nepožiada o navýšenie dotácií o minimálne hodnotu pokuty aj s úrokmi.

#Z_Našich_Daní

[Gloglo]

Toto by som uz uradnikovi az tak neprisival, snad len ak nedal spravit bezp. audit zdrojakov. Toto je uz vyslovene na basu pre programatora a navrhara. Je to podobne, ako keby robos na stavbe miesto cementu a malty daval miestami len hlinu alebo papier.

[Peter Golis]

Úradník to mal skontrolovať. Keď nevedel ako, tak nemal vykonávať danú funkciu. Je jedno či sa jedná o úradníka z daného ministerstva, alebo o externého konzultanta v rámci auditu ktorý bol priložený ku preberaciemu protokolu.

Každopádne pochybilo ministerstvo. A doplatíme na to všetci, hlavne platiči daní ktorí sme sa na tejto chybe nepodieľali.

[Glagla]

V prvom rade pochybil programator a navrhar projektu / infry. Tam je najvacsia cast viny. Potom su uradnici. Keby to bolo vsetko na uradnikoch, to je ako keby ste povedali, ze v pripade trestnych cinov zlyhali policajti, lebo neriesili prevenciu a nie ten, co ten trestny cin spacha.

Proste najprv programator (hlavne pri tomto type chyby) a potom uradnik. Predpokladam, ze interne funguju tak, ze bezpecnost riesi uz programator a nie OPS.

[Peter Golis]

Takže v takýchto prípadoch sa neschvaľuje návrh a dizajn, a na koniec sa to ani neskontroluje? To by tento problém síce vysvetlilo, ale neospravedlnilo.

[xvasek]

Toto s GDPR nesouvisí. Implementací GDPR je směrnice, ne technické řešení. Proti GDPR by to bylo pouze pokud by tam například ta chyba byla záměrně, nebo pokud by probíhalo předávání osobních dat řízeně.

[Peter Golis]

GDPR je nariadenie EÚ ktoré mali členské štáty povinnosť už pred niekoľkými rokmi implementovať v rámci svojho zákonodarstva.

Nezdá sa mi že by podľa tvojho vyjadrenia stačilo povedať že tá chyba nebola zámerná, a daný výrok by oslobodil páchateľa. Ale prezraď aké myšlienkové pochody ťa viedli k takémuto vyjadreniu.

[cezz]

V ramci GDPR je tiez povinnost mat jasne definovane pravidla ako s datami pracujes, kde su dostupne a ako su chranene. Cize aj keby chyba samotna nebola zamerna, je mozne ze k nej doslo zamernym nedodrzovanim procesov ktore musia mat definovane.

[xvasek]

Ne, tak to nemyslím. Myslím to tak, že takovýto únik byl trestný před GDPR, resp. je trestný nezávisle na GDPR. Samotné GDPR přineslo spoustu dalších pravidel (výmaz dat, zákaz předání bez vědomí, povinnost mít v některých případech směrnici nebo pověřeného člověka...), ale samotný princip ochrany osobních údajů už jsme tady měli přece dřív a máme jej pořád.

[dužan]

Tak to ani piču, tohle se musí normálně nahlásit jako incident a při zjištění nedbalosti následuje pokuta.

[xvasek]

To samozřejmě jo, ale takto to bylo už _před_ GDPR a samotné GDPR na tomto v principu nic nemění.

[Ptr]

Tak to ne, postihuje se i nedbalost.

[m.]

Z vasich otazek je jasne videt, ze jste GDPR ani necetl.

[Peter Golis]

Z vášho príspevku je jasné, že ste sa na základnej škole nenaučil či sa otázka končí otáznikom.