K čemu je soubor security.txt

Michal Špaček v úvodu svého článku K čemu je soubor security.txt: Přidejte si na web soubor security.txt a umístěte do něj správné kontaktní údaje, ať lidé, kteří chtějí nahlásit bezpečnostní chyby, nemusí dlouze studovat kam report poslat.

9.4.2018 15:11 | Ladislav Hagara | Zajímavý článek

Komentáře

[Peter Golis]

Kontaktné informácie boli vždy vo výstupe z whois. Kto takéto informácie nevedel získať, ten nemal ani dosť rozumu na nájdenie bezpečnostného problému.

Trochu mi to pripomína haló okolo povinného zadávania telefónneho čísla ICE do tel. zoznamu. Redaktori bulvárnych televízií začali silou mocou presviedčať národ že takto označený kontakt slúži na urýchlené kontaktovanie príbuzných alebo priateľov rýchlou zdravotnou pomocou. To že v sanitke sa nemajú kedy venovať mobilu obete, a ani sa nemajú ako dostať cez PIN už nikoho za tie roky takýchto hoaxov netrápilo.

[otasomil]

Taky me stale udivuje jak jiste slozky stale mermomoci chteji nekoho kontaktovat, zachranovat eurosoudruzi to dotahli az na ecall.

[Peter Golis]

Problém je že s tým security.txt nemá kto čo, a s ICE nemá ako.

Ale s eCall je možné že po aktivácii airbagu ti to samé odomkne auto a zavolá záchranku keďže budeš vtedy asi v bezvedomí. A popri tom to aj pravidelne poodosiela kadiaľ si a ako rýchlo jazdil. Len by ma zaujímalo kto bude platiť neoprávnený výjazd keď si prskneš airbag v nulovej rýchlosti na dvore, lebo môžeš.

[otasomil]

A ten velkobratrsky bazmek bude mit nejakou SIM a datove prenosy nebo jak to ma v lanu velky bratr. Kdo bude komu platit za ten traffic? Vite o tom neco?

[Jendа]

112 se dá volat bez SIM, čekal bych, že to bude fungovat přes to.

[Peter Golis]

Kde sú tie časy keď 112 bol presný čas. Teraz už takí presní niesú.

[Limoto]

Přesně tak, zavolá to 112 a "vypípá" to informace o poloze, počtu pasažérů a podobně a poté to pokračuje jako hlasový hovor s posádkou. Nebo aspoň tak rozumím tomu, co jsem četl. Ne že bych z toho byl nadšenej, ale nepřijde mi to jako velkej zásah do soukromí. Mimochodem, prý je to z důvodu ceny ve všech dnešních autech řešený pomocí 2G/3G sítí, takže to za pár let bude těžítko. Za předpokladu, že někdo nevymyslí povinnou výměnu...

Ovšem, proslýchá se, že by EU chtěla sledovat spotřebu aut v reálném čase. Tam už asi hovor na 112 stačit nebude, dá se předpokládat datový přenos a to mě dost děsí.

[Jendа]

ale nepřijde mi to jako velkej zásah do soukromí

Mně taky ne, mnohem větší WTF mi přijdou ty současné palubní systémy které jsou všude kromě těch úplně nejlevnějších aut.

Ovšem, proslýchá se, že by EU chtěla sledovat spotřebu aut v reálném čase. Tam už asi hovor na 112 stačit nebude, dá se předpokládat datový přenos a to mě dost děsí.

Nechápu, pokud už chtějí něco takového dělat na unijní úrovni, mnohem účinnější by bylo řešit vymllácené DPF a podvádějící dieselgate.

[trekker.dk]

mnohem účinnější by bylo řešit vymllácené DPF a podvádějící dieselgate.

To by znamenalo šlápnout na prsty VW a to si nikdo nedovolí.

[Michal Kubeček]

U mne (Ford Focus 2017) je to ještě řešené přes normální telefon (a lze to vypnout v menu). Pokud se z nějakého důvodu handsfree nespáruje s telefonem (třeba proto, že ho nemám s sebou nebo je vypnutý), naskočí mi upozornění, že služba (nouzový asistent nebo tak nějak) nemohla být aktivována.

[[Jooky]]

Kazdy rozumny telefon ma "emergency information" / "emergency contacts". Ten zoznam sa da pozriet bez odomknutia telefonu a telefone cislo sa da zavolat aj bez zadania pinu ... toto je to ICE. Nejde o hoax. Ano, v sanitke na to neni cas, ale v nemocnici uz urcite ano ...

[Peter Golis]

Ale ten zoznam sa neplní pomocou pridania ICE do mena. To ICE v mene je hoax. A v nemocnici sa nebudú učiť narábať s každým jedným mobilom. Tam sa pozrú na doklady, a následne pozrú verejný telefónny zoznam. Ale to len ak by sa jednalo o niečo post mortem, a majú na to čas a chuť. Zažil som.

[Vantomas]

No a tak nakonec budou nemocnice volat na nouzový kontakty jenom těch, co mají jablečný telefon. To používá půlka zeměkoule a půlka zeměkoule má knoflík pro nouzový kontakty na stejném místě.

[Peter Golis]

Áno. A vo východnej Európe dostanú zdravotníci služobné ajfóny aby sa s nimi naučili narábať a aby našli gombík na ktorom sú zavesené kontakty rodiny, alebo blízkych ľudí. A pred tým si samozrejme overia či to tel. číslo patrí niekomu z rodiny aby neporušili zákon o ochrane osobných údajov. To znie určite realisticky.

[[Jooky]]

Kontaktné informácie boli vždy vo výstupe z whois.

Mas pravdu "boli". Skus si dat whois na nejaku slovensku domenu ... co pozeram, tak v Cechach je to iste ... vramci ochrany dat uz tam kontaktne emaile niesu ...

[ehm]

Vysvětlí mi někdo, proč je potřeba, aby tam vlastně byl jakýkoliv kontakt nebo identifikátor vlastníka?

[Jendа]

Podle mě původní motivace byla aby bylo kam hlásit technické problémy a zlobivé uživatele. Tedy vlastně skoro to, co teď má řešit security.txt.

A jak jste se jistě už podívali, Alza tam má nějakého bílého koně z Kypru (mimochodem to je vlastně první firma, která by si mohla zaregistrovat alya.cy! )

[[Jooky]]

Udaje o vlastnikovi su dobre napr. na kontrolu legitimnosti servra / stranky / emailu.

Medzi kontaktami bol najdolezitejsi "Abuse" email / telefon, popripade kontakt na vlastnika (ak to nie je velka firma) ... Ked som este spravoval email server, tak som nie raz kontaktoval spravcov inych email servrov a network routerov. Z casu na cas proste narazis na situaciu, ze si potrebujes s "tym na druhjej strane" nieco vydiskutovat. Ci uz zle nastavenie, alebo nespravne filtrovanie, popripade bordel, co niekto u nich generuje ... nechapem preco sa zrazu tie udaje povazuju za sukromne ...

[ehm]

Vyjádřil jsem se špatně. Mít možnost přímo u domény uvést kontaktní e-mail samozřejmě dává smysl, ale nerozumím tomu, proč mají být povinné osobní údaje. Co myslíš tou kontrolou legitimnosti mi není jasné už vůbec – i kdybych připustil, že je to žádoucí, tak to přece ani teď (přinejmenším u CZ domén) nefunguje. Můžeš uvést libovolné jméno i adresu. Porušuješ tím sice pravidla a teoreticky o tu doménu můžeš přijít, ale nijak důsledně se to nevymáhá. Pokud by to tedy někdo používal pro ověření té legimity, jak zmiňuješ, naopak velmi snadno naletí podvodníkovi.

V povinném vyžadování těch údajů (a trvání na jejich korektnosti) zkrátka nevidím sebemenší smysl. Pokud má někdo nekalé úmysly, údaje si vymyslí (a pokud o doménu případně přijde, pokud se to vůbec děje, pořídí si jinou). Naopak legitimní vlastník domény, který pouze touží zůstat v anonymitě, zbytečně žije s rizikem, že o doménu přijde. Vím o MojeID a určitě je to krok vpřed, ale pokud vím, je tam kromě ID stále uvedeno i celé občanské jméno.

[trekker.dk]

Jsem zvědav, jak se na tomhle projeví GDPR - za sebe určitě můžu říct, že nestojím o to, aby z mé domény kdokoliv mohl vyčíst moje jméno a adresu. Nejsem právník, ale dost pochybuju, že by byl nějaký zákonný důvod nebo oprávněný zájem, aby tyto informace ve whois byly veřejné.

[otasomil]

Jsem zvědav, jak se na tomhle projeví GDPR
No nijak. malokdo vi ze jde zjistit vlastnictvi domeny, malokdo vi ze vubec domena ma nejakyho vlastnika. Sam jsem se setkal s nazory ze je to neco jako emailova schranka na seznamu ci ucet na facebooku. Mit vlastni (osobni) domenu neni nic masoveho oc by se mohl uredni eurosiml zajimat.

[Peter Golis]

Tie kontakty neboli vyhodené z whois. Tie kontakty boli vyhodené z informácii o doméne kvôli SPAMu. A z toho istého dôvodu nebudú v nejakom roboticky spracovateľnom súbore.

Ale, tie kontakty sú stále vo whois. Stačí previesť doménu na IP, čím získaš kontakt na vlastníka alebo poskytovateľa ktorý sa postará o zvyšok. A tam to stále je.

[otasomil]

Zdravim
Takova psi znamka na serveru... Kazdopadne dohledat nejaky kontakt na spravce serveru nebyva obtizne uz podle domeny ci IP adresy. security.txt je takova vec navic. Spis se to snadno naucej sbirat roboti a rozesilat na emaily spam.

[V.]

Taky jsem takové reporty občas dostal a pátral jsem, komu to předat, kdo to kdysi rozjel, kde ten server leží apod., čí to teď je ...
Aneb jak who.is tak security.txt má něco do sebe.

[NN]

Je to jen navrh, neni to povinnost. Az to bude v RFC budu o tom uvazovat.

[yxc]

Už si píšu grabber, který ta data bude stahovat. Plánuji na to rozesílat spear-phishing. (Na vašem webu jsme našli SQL injection ve skriptu XYZ. Přesné logy našeho skeneru posílám příloze.)

[pavele]

Děkujeme za zprávu s přílohou, naši právníci Vás budou včas kontaktovat.

[yxc]

Doufám, že si obsah přílohy nejprve přečtou... :P

[Joelp]

Podle mě je to zbytečnost. Weby poměrně často spravují lidé, kteří jsou rádi když umí nainstalovat Wordpress. Pokud vůbec. Daleko lepší mi přijde

$ host seznam.cz
seznam.cz has address 77.75.77.53

$ whois 77.75.77.53
...
...
abuse-mailbox:  abuse@seznam.cz
...
...