Security MijnNS sucks

[Verwijderd]

Ik wilde 's inloggen op de klanten-sectie van de ns.nl-site. Om het verhaal kort te houden, deze site rammelt aan alle kanten; mijn pc is nog beter beveiligt dan de NS. (hoezo, seinstoringen?) Als ik op https://klanten.ns.nl/ ga dan kan ik al gelijk kiezen om te gaan naar de:

BEA WebLogic Server 8.1™
Web Server Index Page
Access WebLogic Server Console = https://klanten.ns.nl/console
default PeopleSoft logon page = https://klanten.ns.nl/ps/signon.html

Het zou me eens niet verbazen als de default usernames en passwords nog actief zijn ingeschakeld. (niet dat ik dat ga uitzoeken, daar ben ik te lui voor).

Als ik naar de inlog-pagina ga zoals de 'beheerders' dat onlogischerwijs zich hebben voorgesteld op:
https://klanten.ns.nl/psp/ps/?cmd=login krijg ik gelijk de melding van een mixed-mode http/https foutmelding.

Helaas weet ik mijn wachtwoord niet meer, dus klik ik op 'wachtwoord vergeten'.
Ja hoor, een http error 500!

---

Nee, de NS kan beter fuseren met de grundlichheid van de DB. Wat een zooitje.

[Nik]

Mail ze even

[Mint]

Ik krijg anders geen HTTP 500 bij 'wachtwoord vergeten?'.

[Verwijderd]

Dr staat niet eens een e-mail adres c.q. contact-sectie. afgezien van een 0900-nummer

[ibmos2warp]

adyta schreef op woensdag 14 maart 2007 @ 22:33:
Ik krijg anders geen HTTP 500 bij 'wachtwoord vergeten?'.

Ik kreeg zonet wel een 500, maar nu niet meer . Brakke server misschien?

[Verwijderd]

zeg ik toch

[Andros]

Seinstoringen zijn btw de fout van ProRail, daar moet ook nodig eens de bezem door. NS doet veel fout maar dingen op het spoor zelf zijn van de beheerder hoor...

[ibmos2warp]

Verwijderd schreef op woensdag 14 maart 2007 @ 22:39:
zeg ik toch

Ik lette alleen op de titel toen ik dat poste ...
Maar ze hebben genoeg email adressen als recruitment@ns en buisnessiets@ns, dan zouden ze toch ook wel een webmaster@ns hebben lijkt mij...

[We Are Borg]

Wat heeft dit met security te maken? Okee, server is brak afgesteld wellicht, maar ik zie nergens bewijs dat er iets mis is met de beveiliging. En topic titel zegt toch erg ongefundeerd "Security MijnNS sucks"

[PrisonerOfPain]

proller schreef op woensdag 14 maart 2007 @ 22:18:
Mail ze even

Heb jij toevallig een e-mail adres? Ik heb de ns jaren geleden ooit gemailed over een cross side scripting "aanval" die sinds 2004 op z'n minst mogelijk is. Heb er tot op heden nog geen reactie op gehad, overigens.

[SpiceWorm]

Sterker nog: het lijkt me stug dat er überhaupt iets als een 'default' pass bestaat bij dit soort pakketten. Het lijkt me dat er in ieder geval een random pass wordt gesuggereerd bij de installatie.

[Verwijderd]

Reactie op "we are borg".
I beg to differ!
Als ik al bij de eerste de beste server-fout terecht kom als 'domme gebruiker' op een pagina waarop ik kan doorklikken naar een administrator-console, slecht beveiligd met een naar verhouding eenvoudige username/wachtwoord; dan noem ik dit een belachelijke slechte beveiliging. we hebben hier niet te maken de 'bakker op de hoek', maar me de NS met een grote userbase. Daar mag je toch wel verwachten dat de site evengoed is ingericht als de nederlandse banken...

Zelf had ik bijvoorbeeld ervoor gezorgd dat je enkel op de console kunt komen met een passende certificaat. Hoe moeilijk kan het zijn.

[We Are Borg]

Mwah, het zou mooi zijn als die link inderdaad niet zichtbaar zou zijn, maar dat jij er nu toevallig op bent gekomen betekent niet dat de beveiliging erachter slecht is. Wie zegt dat jij met een eenvoudig username en wachtwoord kan inloggen op het server beheer gedeelte? Je hebt het niet geprobeerd omdat je 'te lui was'. Kortom, je hebt een inlogpagina gevonden voor serverbeheer...wohoo!

Note dat na het inloggen bijv ook je IP adres gecheckt kan worden of je wel mag inloggen vanaf jouw ip, zelfs al heb je een gebruikersnaam en wachtwoord wat klopt. Dat weet jij niet. Daarnaast zal ik het met je eens zijn als je zegt dat het niet netjes is dat je toevallig op die pagina komt, maar beveiliging hangt absoluut niet af van het verborgen houden van een inlogpagina. Juist op die inlogpagina en alles daarna moet alles kloppen

[Mint]

We Are Borg schreef op woensdag 14 maart 2007 @ 22:57:
Mwah, het zou mooi zijn als die link inderdaad niet zichtbaar zou zijn, maar dat jij er nu toevallig op bent gekomen betekent niet dat de beveiliging erachter slecht is. Wie zegt dat jij met een eenvoudig username en wachtwoord kan inloggen op het server beheer gedeelte? Je hebt het niet geprobeerd omdat je 'te lui was'. Kortom, je hebt een inlogpagina gevonden voor serverbeheer...wohoo!

Note dat na het inloggen bijv ook je IP adres gecheckt kan worden of je wel mag inloggen vanaf jouw ip, zelfs al heb je een gebruikersnaam en wachtwoord wat klopt. Dat weet jij niet. Daarnaast zal ik het met je eens zijn als je zegt dat het niet netjes is dat je toevallig op die pagina komt, maar beveiliging hangt absoluut niet af van het verborgen houden van een inlogpagina. Juist op die inlogpagina en alles daarna moet alles kloppen

Ik kan het niet meer met je eens zijn. Op veel sites zie je wel een link genaamd 'admin' of iets dergelijks. Mail je dan de webmaster ook om te zeggen dat de beveiliging 'sucks'?

Dat het niet zo netjes is van de NS kan ik snappen. Maargoed, dat zijn we ook wel een beetje gewend van ze

[pasta]

Fantastisch, maar foutmeldingen op websites zijn niet echt iets voor Beveiliging & Virussen. Dit topic gaat dicht.