Mistök í uppfærslu - lykilorðum breytt

Fyrir mistök í uppfærslu hugbúnaðar nú í morgun birtust neðst á bloggsíðum upplýsingar um eiganda viðkomandi síðu, þar á meðal lykilorð þeirra. Þessar upplýsingar voru faldar í forritskóða mjög neðarlega á síðunni og ólíklegt að gestir á síðuna hafi kynnt sér þær. Til að koma í veg fyrir misnotkun var lykilorðum allra notenda blog.is breytt í kjölfarið og þau send þeim í tölvupósti.

Hotmail notendur athugið: Póstur frá mbl.is á það til að lenda í "Junk Mail" hólfinu. Gáið þar ef þið sjáið ekki póstinn frá okkur.

Aðstandendur blog.is
[e-mail]

Athugasemdir

[Fræðingur, 21.2.2007 kl. 12:31]

Hvernig stendur á því að þið geymið hrá lykilorð en ekki hökkuð (cryptographic hash) ?

[Bryndís (IP-tala skráð) 21.2.2007 kl. 12:44]

Hvenar á maður von á að fá nýju lykilorðin í tölvupóstinum?

[Umsjónarmenn blog.is, 21.2.2007 kl. 12:55]

Lykilorðin voru send um kl. 12. Þau ættu því að vera komin. Ef þú ert með Hotmail netfang, þá bendi ég þér á að gá í "Junk Mail" möppuna. - Guðmundur

[Ómar Kjartan Yasin, 21.2.2007 kl. 12:57]

Já, "Fræðingur" spyr góðrar spurningar, hvernig stendur á því að lykilorðin eru ekki höshuð inni í gagnagrunnunum hjá ykkur, svona í skjótu bragði sé ég ekki af hverju þau þyrftu að vera geymd hjá ykkur í plain text.

[Umsjónarmenn blog.is, 21.2.2007 kl. 12:58]

Fræðingur: Við geymum lykilorðin hrá svo notendur geti fengið þau send til sín hafi þeir gleymt þeim. - Guðmundur

[Fræðingur, 21.2.2007 kl. 13:03]

Sem sagt ekki hugsað um öryggismál. Æði.

[Fræðingur, 21.2.2007 kl. 13:13]

Og af hverju sendið þið ekki ný, tímabundin lykilorð á hina gleymnu notendur?

[Hafþór H Helgason, 21.2.2007 kl. 13:47]

Hvernig býr maður  sér til eigið lykilorð eitthvað sem maður man

[Hafþór H Helgason, 21.2.2007 kl. 13:55]

Búinn að finna það

[Svansson, 21.2.2007 kl. 14:05]

"Fræðingur: Við geymum lykilorðin hrá svo notendur geti fengið þau send til sín hafi þeir gleymt þeim. - Guðmundur"

Mér sýnist þetta vera vægast sagt vafasöm skýring á því af hverju lykilorðin eru hrá inni í forritunarkóða. Nánast allir vefir sem notast við lykilorð geta sent manni lykilorð sem hafa gleymst og ég stórefast um að td. bankarnir geymi þau í kóðanum. 

Það vakna hjá mér fimm spurningar sem ég held að þið verðið að gera svo vel að svara:

1) Af hverju er lykilorðið óencryptað inni í kóðanum.

2) Er sama meðferð í gangi á öðrum lykilorðavörðum síðum á mbl.is, ss, eignamöppunni á fasteignavefnum?

3) hversu margir starfsmenn gætu tæknilega haft aðgang að forritunarkóðanum þar sem lykilorðið sést. Hvaða trúnaðarákvæði hafa þeir skrifað uppá? 

4) Hversu lengi sáust lykilorðin, og á hvaða tíma var það. Hversu margir skoðuðu síður á blog.is á þeim tíma sem þau sáust og mátti merkja á teljurum trend í lesningu á þeim tíma, sem gæti mátt rekja til þess að lykilorðin sáust.

5) Og augljóslega: Hvernig gátu mistök af þessu tagi átt sér stað.

Morgunblaðsvefurinn er mest lesni vefur landsins og búinn að vera mörg ár í þróun. Maður trúir því varla að hann sé 3. flokks vinnubrögð þegar kemur að öryggismálum.  

[Svansson, 21.2.2007 kl. 14:07]

Og svo er það líka spurning: Segjum að tölvuþrjót langi að finna lykilorð sem ég eða einhver annar notar: Getur hann þá brotist inn á mbl.is og séð þau í kóða þar?

[Guðmundur Hreiðarsson, 21.2.2007 kl. 14:30]

Það er reyndar ekki rétt að lykilorðin séu geymd í kóðanum. Þau eru geymd í lokuðum gagnagrunni. Ástæðan fyrir því að þau birtust var að við prófanir á ákveðnum hluta kerfisins nú í morgun voru upplýsingar um notanda skrifaðar út. Þessar prófanir áttu sér stað á lokuðum þróunarvefþjóni. Mistökin voru þau að skipunin sem skrifaði upplýsingarnar út var ekki fjarlægð að breytingum loknum.

Fyrir hvert aðgangskerfi Mbl.is eru öryggisatriði metin sérstaklega eftir mikilvægi þeirra upplýsinga sem geymdar eru. Á blogginu var það metið svo að hagræði notanda af því að geta fengið lykilorð send með auðveldum hætti skipti miklu. Því eru lykilorð geymd með þessum hætti.

Áréttað skal að ekki hafa aðrir en starfsmenn Neteildar Morgunblaðsins aðgang að gagnagrunnum Mbl.is. Þeir hafa allir skrifað undir almenn trúnaðarákvæði.

Lykilorðin sáust í skamman tíma og samkvæmt athugun okkar sá ekki nema lítið brot gesta á bloggvef Morgunblaðsins síðurnar með þessum hætti.

[Guðmundur Ásgeirsson, 21.2.2007 kl. 14:39]

"Þessar prófanir áttu sér stað á lokuðum þróunarvefþjóni. Mistökin voru þau að skipunin sem skrifaði upplýsingarnar út var ekki fjarlægð að breytingum loknum." -gh

Með öðrum orðum: þið settuð þróunarútgáfu af vefnum ykkar í loftið.......  bwahahahaha!!!! Gleymdist kannski að setja debug=false í einhverri config skrá? tíhíhí...

[Svansson, 21.2.2007 kl. 14:51]

Ég myndi gjarnan vilja fá skýrari svör um tímabilið, enda finnst mér ekki ólíklegt að starfsmenn netdeildarinnar geti séð upp á sekúndur í loggum hvenær skrám er breytt. 

Tímasetningarnar sem maður hefur eru "í morgun", sem mér finnst líklegt að hafi þá verið snemma frekar en seint, og síðan tölvupóstur með nýju lykilorði sem mér barst klukkan 12:35. Er það eitthvað meiriháttar mál að gefa út meiri upplýsingar en "skamman tíma"?

Það gæti gert í það heila 3-4 klukkutíma. Meira veit ég ekki.  

[Árni Matthíasson , 21.2.2007 kl. 15:27]

Sæll vertu Svansson.

Samkvæmt athugunum okkar var þessi villa inni á síðum í 56 mínútur, frá 10:10 til 11:06. Samkvæmt heimsóknatöflu fengu 800 bloggsíður heimsóknir á þessum tíma.

Lykilorðum allra notenda var breytt kl. 11:46 og póstur sendur í kjölfarið. Það getur tekið drjúgan tíma að senda póst til svo margra notenda, bloggsíður á mbl.is eru alls 6.557 en notendur 6.800, og hann getur líka verið einhvern tíma á leiðinni sem skýrir hvers vegna hann barst til þín kl. 12:35.

[Jón Frímann (IP-tala skráð) 21.2.2007 kl. 16:06]

IPB geymir lykilorð dulkóðuð. Og þar er jafnvel hægt að fá lykilorðið endursent ef maður gleymir því. Þetta er öryggishola á stærð við Mars sem þið eruð með þarna.

[Stefán Freyr (IP-tala skráð) 21.2.2007 kl. 16:33]

Stjarnfræðilegt klúður eins og Jón Frímann bendir á!

Ég skora á Moggamenn að breyta þessu hjá sér þannig að lykilorð séu hökkuð niður í grunn og ef notandi hefur gleymt lykilorði þá geti hann óskað eftir því að fá úthlutað nýju lykilorði sem hann getur síðan breytt sjálfur.

Það er til háborinnar skammar að svona stórt vefsvæði meti ekki öryggi notenda sinna meira en raun ber vitni.

[Svansson, 21.2.2007 kl. 17:23]

ok, thz fyrir svarið. :)

[Haukur Nikulásson, 21.2.2007 kl. 18:01]

Mér finnast viðbrögð ykkar ágæt og rétt. Hélt reyndar um tíma að búið væri að "stela" af manni bloggsíðunni

[Jón Arnar (IP-tala skráð) 21.2.2007 kl. 18:34]

En ... málið er að netföng notenda voru eitt af því sem lak út á netið - og ég giska á að stór hluti notenda noti sama lykilorðið þangað inn.

Nýja lykilorðið er svo sent á þetta netfang - sem þýðir að sá sem nældi sér í lykilorð - hefur greiðan aðgang að nýja lykilorðinu !

Að geyma lykilorð ódulkóðuð - til þess að geta sent lykilorðin aftur - er glötuð hugmynd.  Flestar "alvöru" síður bjóða ekki upp á slíkt - hinsvegar er hægt að láta endursetja lykilorðið og fá slíkt sent í pósti - það er eðlileg hegðun.

[Björn Patrick Swift (IP-tala skráð) 21.2.2007 kl. 18:57]

Mannleg mistök geta alltaf gerst. Og þau gerast, reglulega. Hvort sem þau felist í því að umsjónaraðili rúlli út þróunarútgáfu á vefþjóna eða að forritara yfirsjáist öryggishola. Einmitt vegna þessa hefði maður talið að fyrirtæki eins og Morgunblaðið myndi hafa vaðið fyrir neðan sig og geyma hakkaða útgáfu af lykilorðunum.

(Fyrir þá sem ekki þekkja til hökkunnar má benda á enska grein í Wikipedia. Í stuttu máli snýst þetta um að taka skilaboð, t.d. lykilorð, og finna "hökkun" skilaboðana. Erfitt er að finna upprunalegu skilaboðin út frá hökkuninni en auðvelt er að sannreyna að notandi sé að slá inn rétt lykilorð með því að bera saman hökkun lykilorðsins sem notandinn slær inn við hökkunina sem geymd er í gagnagrunni.)

Guðmundur Hreiðarsson skrifaði hér athugasemd þar sem hann nefndi að aðgangkerfi hjá mbl.is væru metin eftir mikilvægi þeirra upplýsinga sem þar væru geymdar. Alright. Þær upplýsingar sem þriðji aðili kemst yfir með því að skrá sig inn sem t.d. gummih eru líklega ekkert sérstaklega verðmætar. Þetta er jú blogsíða og mest af því sem þar er ritað er sýnilegt öllum. Hver er þá helsti skaðinn? Að einhver setji inn ranga færslu í nafni Guðmundar? Að einhver hendi út öllum færslum Guðmundar? Eða kannski að einhver breyti um útlitsþema?

Umsjónarmenn ættu að átta sig á því að þegar lykilorð notenda eru geymd er líklega verið að geyma aðgangsupplýsingar að fleiri kerfum en bara blog.is. Þótt netnotendur *ættu* auðvitað að nota mismunandi notendanöfn og lykilorð að öllum þeim vefsíðum sem þeir skrá sig á, er staðreyndin allt önnur. Aðalhættan, og helsti skaðinn, er því sá að lykilorð notanda sé gefið upp og það orðið alkunna. Ætli Björn Bjarnason, ráðherra, sé með sérstakt lykilorð að bjorn.blog.is, eða samnýtir hann það lykilorð á fleiri stöðum? Hvað með Sigmar Guðmundsson, fréttamann, eða Björn Inga Hrafnsson, borgarfulltrúa?

Óneitanlega getur verið ákveðið hagræði í því að geta sent notendum lykilorðið sitt í pósti - en hættan er við að geyma lykilorð ódulkóðuð/óhökkuð er gífurleg. Komist upp um lykilorð (líkt og gerðist í dag) er ekki einungis verið að ljóstra upp aðgangi að svæðum á blog.is heldur hugsanlega að fleiri þjónustum sem einstaklingarnir nýta sér. Nefnum aðrar blogsíður sem dæmi, MSN, MySpace eða tölvupóst. Svona mætti lengi telja.

Guðmundur ritaði einnig: "Áréttað skal að ekki hafa aðrir en starfsmenn Neteildar Morgunblaðsins aðgang að gagnagrunnum Mbl.is. Þeir hafa allir skrifað undir almenn trúnaðarákvæði." Hvað með þá sem gátu lesið lykilorðin í dag - eru þeir bundnir trúnaðarákvæðum? Ef öryggishola finnst í hugbúnaði blog.is og einhver kemst í óhökkuð lykilorð allra notenda - er það áhætta sem Morgunblaðið er tilbúið að taka?

Stundum þarf að detta og meiða sig til að læra. Vonum að notendur blog.is læri að treysta ekki á öryggi Netdeildar Morgunblaðsins og noti héðan í frá lykilorð sem þeir nota ekki annarsstaðar. Vonum þó, öðru fremi, að Netdeild Morgunblaðsins endurskoði afstöðu sína til geymslu á ódulkóðuðum lykilorðum.

[Ólafur Þórðarson, 21.2.2007 kl. 19:40]

Fyrst datt mér í hug já að einhver hefði hakkað sig inná síðurnar mínar, en svo mundi ég fljótt... hver nennir að lesa þetta væl hjá manni?

En mér líst ágætlega á viðbrögð Morgunblaðsmanna. Við erum öll að læra, alveg fram á grafarbakkann.

Í framhaldi af þessu er vert að skoða góðar uppástungur hér með að kóða lykilorðin sem svo notandinn notar til að komast inn og breyta sjálfur.

[Benjamín (IP-tala skráð) 21.2.2007 kl. 20:00]

Fyrir forvitnis sakir, stærstu netþjónar í heimi sem hýsa vefpóst ofl. senda manni ekki gamla lykilorðið heldur nýtt ef maður gleymir því. Endurræsa lykilorðið. Þeir bera saman dulkóðaðar útgáfur af lykilorðinum, eitt úr gagnagrunninum og svo það sem slegið er í viðeigandi box á síðunni. Hvers vegna gerir blog.is þetta ekki? Ég gerði þetta þegar ég skrifaði svona kerfi mér til dundurs. Það tók enga stund. Hvers vegna verðið þið að senda notendum gamla lykilorðið?

[Benjamín (IP-tala skráð) 21.2.2007 kl. 20:03]

...og tók eftir einu þegar ég heimsótti blog.is síðu:

***VILLA:*** Can't call method "selectrow_hashref" on an undefined value at /usr/local/lib/site_perl/DBD/Mbl.pm line 515. Stack: [/usr/local/lib/site_perl/DBD/Mbl.pm:514] [/export/virtual/blog/blog-mm/lib/data/column/about-box:3] [/export/virtual/blog/blog-mm/lib/column/about-box:39] [/export/virtual/blog/blog-mm/lib/process_div_tree:35] [/export/virtual/blog/blog-mm/lib/process_div_tree:19] [/export/virtual/blog/blog-mm/lib/process_div_tree:19] [/export/virtual/blog/blog-mm/lib/ah/default:141]

Villa í uppfærslunni, býst ég við. 

[Árný (IP-tala skráð) 22.2.2007 kl. 10:06]

Ég ætlaði að biðja ykkur um að eyða fyrir mig bloginu mínu :) því að ég sló inn vitlaust e-mail og eg þarf að nota kennitöluna mína:) blogið er arnyd.blog.is sem ég við biðja ykkur um að eyða fyrir mig:)     

                                                                                                         Takk fyrir

[Guðmundur Hreiðarsson, 22.2.2007 kl. 11:00]

Árný: Ég virkjaði fyrir þig bloggið svo þú getur skráð þig inn núna - netfanginu má breyta á síðunni Stillingar / Um höfund í stjórnborðinu.

[Ýr Þórðardóttir (IP-tala skráð) 22.2.2007 kl. 22:09]

Get ég fengið nýtt lykilorð sent, mitt ,,nýja" virkar ekki

[Steingrímur Páll Þórðarson, 4.3.2007 kl. 18:28]

Af hverju koma myndirnar alltaf í móðu í albúmum en lagast strax þegar smellt er á þær og koma þá í gæðunum sem þær voru í þegar þær voru settar inn . . Þær virðast alltaf miklu óskýrari þegar þær eru komnar á moggann ?
Kv

      

[Berglind Nanna Ólínudóttir (IP-tala skráð) 5.3.2007 kl. 21:56]

HVAÐ ER AÐ ÞEGAR EKKERT ER AÐ OG ALLT ER Í LAGI???????? Búin að vera að senda póst á Guðmund Hreiðars, en hef ekki fengið svör nú  undanfarið. Það er alveg sama hvað ég reyni að blogga, ég fæ alltaf athugasemd þegar ég ætla að vista færslu um að ég sé ekki innskráð, þó ég sé innskráð! Skiptir engu hvort ég ýti á vista færslu og birta eða vista og skoða. Ég er að verða SOLDIÐ PIRRUÐ!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!! Búin að senda Guðmundi mynd af skjánum hjá mér, og afrit af öllum villumeldingum, og það virðist ekkert gerast! Þarf ég að eyða blogginu og byrja upp á nýtt eða hvað?????????? Búin að reyna að skipta um vafra, breytir engu, búin að slökkva á vírusvörn, breytir engu, búin að setja niður eldvegg, breytir engu - í stuttu máli sagt, skiptir engu hvað í helvítinu ég geri! 

 Berglind Nanna Ólínudóttir, berglindnanna.blog.is

[e-mail]