Toon posts:

KNAB bank laadt via https oa. extern-http in, issue?

Pagina: 1
Acties:

zaterdag 21 januari 2017 14:57

Acties:
  • b2vjfvj75gjx7
  • Registratie: Maart 2009
  • Niet online

b2vjfvj75gjx7

Topicstarter
Johnny schreef op zaterdag 21 januari 2017 @ 12:56:
Je had het probleem ook natuurlijk kunnen melden via de Knab community. Oh nee, toch niet, zelfs als je klant bent moet je inloggen met een Social Media account. Heb je die niet? Maakt niet uit, inloggen werkt toch niet want je wordt doorgestuurd naar http://old.knab.local zodra je op een knop klikt, en die server bestaat natuurlijk niet in je eigen lokale netwerk.

Wel fijn voor Knab dat je dan ook geen lastige vragen kan stellen over waarom je anno 2017 nog steeds niet zelf een spaarrekening kan verwijderen terwijl in 2013 werd beloofd dat alle functionaliteit via de online omgeving beschikbaar zou komen.
Ik heb het aanvankelijk aangekaart via de chat; hun klantenservice vind ik juist weer perfect - erg snel / adequaat.

En je kan wel je rekening verwijderen :) Ik had een privé- en zakelijke rekening geopend aanvankelijk. Privé liep ik tegen issues aan buiten hun gebied om en dus heb ik die gewoon opgeheven, met behoud van de zakelijke...

Inloggen via Social Media is inderdaad onzin en één van de redenen waarom er zo extreem veel third-party assets worden binnengeharkt...

De hele UA / UX ziet er wel uit als Pipo de Clown; ik zou bijna zelf een custom-css maken om de back-end te professionaliseren...

- edit -

Lol, ze laden zelfs 2x alle externe scripts in... en als bonus nog een highcharts via http... laat de API van highcharts nu net niet de meest veilige zijn (ik heb er zelf aardig wat mee weten te injecteren via een Cordova app)...

Afbeeldingslocatie: https://i.imgur.com/aLz2gBF.png

He he, er staan ook verwijzingen naar de test en productie omgeving... op een live server?! 8)7

code:
1
2
3
4

        if      (window.location.hostname.indexOf('.knab.nl') > -1)  { var _env = 'PRODUCTION'; }
        else if (window.location.hostname.indexOf('.a.bankvanmorgen.nl') > -1) { var _env = 'UAT'; }
        else if (window.location.hostname.indexOf('.t.bankvanmorgen.nl') > -1)  { var _env = 'TESTING'; }
        else  { var _env = 'DEVELOPMENT'; }


En niet gevaarlijk, wel potentieel - men gebruikt een .SVG als logotype;

https://www.knab.nl/~/media/knab/shared/knab-logo.svg?la=nl

En laat .SVG nu net een DOM-object zijn waar je javascripting in kan draaien... één keer een malafide .SVG uploaden en je back-end is besmet... ding is gemaakt via de export-plugin van Illustrator, maar de #ID's staan er nog in.

[ Voor 29% gewijzigd door b2vjfvj75gjx7 op 21-01-2017 15:11 ]

zaterdag 21 januari 2017 17:16

Acties:
  • b2vjfvj75gjx7
  • Registratie: Maart 2009
  • Niet online

b2vjfvj75gjx7

Topicstarter
Juup schreef op zaterdag 21 januari 2017 @ 15:35:
[...]

Huh? Welke ID's heb je het over en waarom zijn die gevaarlijk?
btw als je al iets kan uploaden naar de backend dan is de scripting binnen svg je minste probleem.
Working demo

Het logo van KNAB, met code geïnjecteerd (onschuldig in dit geval - maar je kan dus ook een dynamisch javascript in de <head> injecten, die inladen vanaf een externe server - die via AJAX een .php script aanroept, terugkoppelt naar het logo en daar "iets" mee doen...).

Afbeeldingslocatie: http://deathgrunt.com/tmp/svg/knab.svg

[ Voor 4% gewijzigd door b2vjfvj75gjx7 op 21-01-2017 17:17 ]

zaterdag 21 januari 2017 17:43

Acties:
  • b2vjfvj75gjx7
  • Registratie: Maart 2009
  • Niet online

b2vjfvj75gjx7

Topicstarter
orf schreef op zaterdag 21 januari 2017 @ 17:35:
[...]


Beetje gek verloop:

A: In een <img> kan geen <script>
B: Jawel
B: Kijk maar: <object>
A: Dat is geen <img>
B: Klopt, dat staat er ook.

Als een logo in een <img> tag gebruikt wordt, dan is er geen veiligheidsrisico op het gebruik van javascript. Natuurlijk kun je dan een andere asset inladen om javascript te gebruiken, maar dat lijkt me nogal logisch.
Het gaat om de theorie bij beveiliging;

Desnoods knal je het logo zonder wrapper in een iFrame...

Maar waar het vooral om gaat;

- Geen audit op assets
- Geen audit op externe / third-party scripts
- Geen audit op cross-protocol traffic
- Geen audit op non-valuable scripting (http)

Of je dan een script actief kan draaien in een plaatje, waarvan niemand ooit de code gecontroleerd heeft, lijkt me minder van belang; je moet gewoon nooit accepteren dat er code op je server staat - die niemand heeft ingezien.

- edit -

Als je javascript uitzet in de backend, weigert de site zelfs dienst...

Afbeeldingslocatie: https://s24.postimg.org/xnf5dxez9/Clipboard_2.png

Dus men verplicht je om javascript te draaien, wil je iets met je geld kunnen doen.

[ Voor 10% gewijzigd door b2vjfvj75gjx7 op 21-01-2017 17:48 ]

zondag 22 januari 2017 16:56

Acties:
  • b2vjfvj75gjx7
  • Registratie: Maart 2009
  • Niet online

b2vjfvj75gjx7

Topicstarter
orf schreef op zaterdag 21 januari 2017 @ 17:49:
Ik kan de website niet bekijken. Waarschijnlijk wordt alles ingeladen via tagmanager. Dat zie ik wel vaker; tagmanager in handen van de afdeling marketing. Dat is onhandig en levert flinke veiligheidsrisico's op.
Klopt - als ik Fiddler los laat op de site, zie je veel (verborgen) funnels naar Google Tag Manager;

Die beheert dus alle scripts van zowel Google, KNAB als externe partijen.

Als die tag-manager omvalt, hebben ze dus een situatie zo lek als een mandje...

Afbeeldingslocatie: https://s24.postimg.org/a1zdww6th/Clipboard_1.png

[ Voor 5% gewijzigd door b2vjfvj75gjx7 op 22-01-2017 16:59 ]

woensdag 12 april 2017 23:10

Acties:
  • Juup
  • Registratie: Februari 2000
  • Niet online

Juup

Ook goed dat ze al zijn voorbereid op een eventuele toekomstige facepalm situatie:
Afbeeldingslocatie: https://persoonlijk-beta.knab.nl/Personal/Content/images/Login/photos-loginscreen_02_2.png
of struisvogel politiek:
Afbeeldingslocatie: https://persoonlijk-beta.knab.nl/Personal/Content/images/Login/photos-loginscreen_01_2.png
;)

[ Voor 27% gewijzigd door Juup op 12-04-2017 23:12 ]

Een wappie is iemand die gevallen is voor de (jarenlange) Russische desinformatiecampagnes.
Wantrouwen en confirmation bias doen de rest.

Pagina: 1
Reageer