Gesubsidieerde regeringssite lek als een mandje - hoe dan?

[b2vjfvj75gjx7]

Afgelopen vrijdag heeft de regering van Suriname een site geopend waarbij zogenaamde PSA mensen (Personen van Surinaamse Afkomst) zich kunnen registeren bij diezelfde Surinaamse overheid (zodat men "daar" weet wat men "hier" in petto heeft).

Nieuwsgierig als ik ben, heb ik de site bezocht - http://diaspora.sr/survey/web/



Wat gelijk al opvalt, is dat het protocol onbeveiligd is - niet heel handig als je privacygevoelige persoonsgegevens naar een overheid stuurt.

Vervolgens kom je bij een standaard-survey-tool uit met wat vragen - waarvan je de conditional logic zelf moet aansturen.

Dit is vreemd, omdat je dat eenvoudig kan automatiseren - vooral omdat de site (blijkbaar) betaald is door het IOM Development Fund - https://developmentfund.iom.int/



Geen kleine partij, dus een paar honderd euro om zo'n survey te maken moet toch betaalbaar zijn?

Maar we zijn er nog niet - toen ik de surey als test invulde, heb ik de Developers Console geopend om te zien "wat de site op de achtergrond doet".

Wat bleek? Op het einde van de survey wordt je input gepost (via AJAX) naar een niet afgeschermd adres.

Als je dit adres bezoekt, en de variabele in de URL (je sessie-token) weglaat - kom je op een wel hele interessante pagina terecht;

http://diaspora.sr/survey/web/app_dev.php/_wdt/



Een foutmelding van een niet valide AJAX-call naar de Symphony-backend van de site... met onderaan een debugbar waar je notabene PHP-Info() kan oproepen...



http://diaspora.sr/survey/web/app_dev.php/_profiler/phpinfo



Met deze informatie zie je direct alle settings en variabelen terug van de server... waarmee je in theorie nog verder het systeem in zou kunnen komen.

Als je vervolgens kijkt wat er nog meer over het netwerk gaat, zie je gemixte content van een externe WordPress-site voorbij komen;



http://onepagewebs.it/

Die site is dan weer blijkbaar van de persoon die deze gesubsidieerde survey in elkaar heeft gestoken - afgaande van hun profieltekst.



Natuurlijk enkele momenten na de lancering (voor het weekend) alle betrokken partijen al op de hoogte gesteld - maar nog geen antwoord gehad.

Dus mijn prangende vraag is en blijft... hoe kan een (internationaal) gesubsidieerde site op zo'n onveilige manier in elkaar worden gestoken? Ergens moet er toch verantwoording worden afgelegd?

[HKLM_]

subsidie betekent niet dat iets goed in elkaar zit. als je zeg 1000 euro voor de site krijg en je webbouwer heeft alsnog geen verstand en jij ook niet dan krijg je dit waarschijnlijk

[b2vjfvj75gjx7]

Downloader_NL schreef op zondag 26 maart 2017 @ 14:30:
subsidie betekent niet dat iets goed in elkaar zit. als je zeg 1000 euro voor de site krijg en je webbouwer heeft alsnog geen verstand en jij ook niet dan krijg je dit waarschijnlijk

Tja, maar zelfs gratis maak je zo'n survey beter... desnoods via Google Survey / Survey Monkey / etc...

Iemand moet toch zien dat je op deze manier niet kan werken en zelfs de privacy van je gebruikers in het geding brengt...

Het gaat me niet zo zeer om de lekken zelf, maar meer dat een organisatie (internationaal erkend) geld geeft, een regering zo iets laat "ontwerpen" en vervolgens er een brakke zeef wordt opgeleverd... erg vreemd.

[gasemans]

Klinkt als een politiek gevalletje.

Of te wel een manager of politiek figuur die snel punten wil scoren en de site ondanks jouw waarschuwingen en ik mag hopen ook van eigen it mensen alsnog online gebracht.

Iets wat ik vaker heb mee gemaakt. (persoonlijk)

En wanneer het dan uit komt is in eens de it afdeling verantwoordelijk want zij hebben het laten gebeuren.

[downtime]

b2vjfvj75gjx7 schreef op zondag 26 maart 2017 @ 14:41:
[...]

Iemand moet toch zien dat je op deze manier niet kan werken en zelfs de privacy van je gebruikers in het geding brengt...

Je doet allerlei cultureel bepaalde aannames omtrent goed bestuur, verantwoording, integriteit, professionaliteit, beschikbaar budget, het belang van privacy, die in Europa niet altijd terecht zijn. Laat staan in een land als Suriname.

[ralphioli]

downtime schreef op zondag 26 maart 2017 @ 14:53:
[...]

Je doet allerlei cultureel bepaalde aannames omtrent goed bestuur, verantwoording, integriteit, professionaliteit, beschikbaar budget, het belang van privacy, die in Europa niet altijd terecht zijn. Laat staan in een land als Suriname.

Precies. Hoewel deze website wel een erg extreem voorbeeld is, zijn er in Nederland ook websites met overheidssubsidie die qua privacy niet goed in elkaar zitten, zoals de StemWijzer voor de afgelopen verkiezingen.

[Saven]

Wat ik vreemder vind is dat die POST data van de enquête niet verwerkt wordt. Een nep survey ?

[b2vjfvj75gjx7]

downtime schreef op zondag 26 maart 2017 @ 14:53:
[...]

Je doet allerlei cultureel bepaalde aannames omtrent goed bestuur, verantwoording, integriteit, professionaliteit, beschikbaar budget, het belang van privacy, die in Europa niet altijd terecht zijn. Laat staan in een land als Suriname.

Dat was niet mijn bedoeling; ik doelde meer op het feit dat de (internationale) organisatie niets checked...

Het land, de bouwer, de gebruiker, etc... laat ik liever buiten beschouwing - maar als er subsidie naar een project gaat, controleer je achteraf toch wat er mee gebeurd is?

Overigens is dat laatste (even dik in je quote) natuurlijk ook weer een culturele aanname... (niet vervelend bedoeld).

[ Voor 9% gewijzigd door b2vjfvj75gjx7 op 26-03-2017 15:18 ]

[ralphioli]

b2vjfvj75gjx7 schreef op zondag 26 maart 2017 @ 15:17:
[...]


Dat was niet mijn bedoeling; ik doelde meer op het feit dat de (internationale) organisatie niets checked...

Het land, de bouwer, de gebruiker, etc... laat ik liever buiten beschouwing - maar als er subsidie naar een project gaat, controleer je achteraf toch wat er mee gebeurd is?

Overigens is dat laatste (even dik in je quote) natuurlijk ook weer een culturele aanname... (niet vervelend bedoeld).

Ik ben het er zeker mee eens dat er gecontroleerd zou moeten worden wat er met subsidie gebeurt. In de realiteit gebeurt dit (zoals er duidelijk te zien is op deze website) vaak maar half, zeker in Suriname. Waarschijnlijk heeft degene die dit moest controleren gezien dat hij een enquete op zijn scherm kreeg, en dacht hij toen "het is wel goed", en heeft verder niet gekeken.

[BarôZZa]

b2vjfvj75gjx7 schreef op zondag 26 maart 2017 @ 14:17:

Dus mijn prangende vraag is en blijft... hoe kan een (internationaal) gesubsidieerde site op zo'n onveilige manier in elkaar worden gestoken? Ergens moet er toch verantwoording worden afgelegd?

Omdat een internationale organisatie en subsidies geen enkel verband hebben met de beveiliging van computersystemen. Geld en uitstraling (grote organisatie oid) zeggen niks over de kwaliteit. Er bestaan onbetaalbare pakketten die door een groot team gebouwd worden maar enorm gammel zijn en er zijn gratis dingen die door arme zolderkamerprogrammeurs gebouwd worden, maar waarvan de kwaliteit geweldig is.

Als IT'er kan je daar trouwens slim gebruik van maken. Vraag meer geld en mensen zien je als betere programmeur, werk je voor minder dan je collega's, dan denken de bazen dat je minder goed bent.

Overigens zie ik het probleem niet echt in dit geval. Het is een anonieme enquete, dus er valt niks te halen. De beste beveiliging is zorgen dat je geen belangrijke gegevens opslaat. Er gaan geen namen, wachtwoorden oid over het lijntje. Je kan dus hooguit de boel een beetje slopen. Maar je kan ook een miljoen keer dat formulier invullen met random dingen.

edit: overigens zijn het meestal juist de grote organisaties en overheden waar processen totaal niet gestroomlijnd zijn en waar digitale kennis ontbreekt. Hell, zelfs bij veel IT-bedrijven ontbreekt die kennis, dus van dat soort organisaties kan je dat helemaal niet verwachten.

[ Voor 9% gewijzigd door BarôZZa op 27-03-2017 08:24 ]

[b2vjfvj75gjx7]

BarôZZa schreef op maandag 27 maart 2017 @ 08:20:
[...]

Overigens zie ik het probleem niet echt in dit geval.

Grootste issue is dat ze PHPinfo(); open hebben staan en dat je daarmee de volledige structuur van je server (ook alles buiten public_html) openbaart...

Als je verder zou graven in het systeem, met die kennis erbij, kom je een stuk verder dan ik nu al had gedaan in 2 minuten...

[BarôZZa]

b2vjfvj75gjx7 schreef op maandag 27 maart 2017 @ 18:22:
[...]


Grootste issue is dat ze PHPinfo(); open hebben staan en dat je daarmee de volledige structuur van je server (ook alles buiten public_html) openbaart...

Als je verder zou graven in het systeem, met die kennis erbij, kom je een stuk verder dan ik nu al had gedaan in 2 minuten...

Het punt is dat het bij veiligheid om de gegevens draait en minder om de server. Waarom zou je tijd pompen in het dichttimmeren van een enquête? Er valt niks te halen. En PHP info is ook weer niet zo enorm spannend.

Het wordt interessanter wanneer je emailadressen/wachtwoorden e.d. gaat opslaan.

[HollowGamer]

b2vjfvj75gjx7 schreef op maandag 27 maart 2017 @ 18:22:
[...]


Grootste issue is dat ze PHPinfo(); open hebben staan en dat je daarmee de volledige structuur van je server (ook alles buiten public_html) openbaart...

Als je verder zou graven in het systeem, met die kennis erbij, kom je een stuk verder dan ik nu al had gedaan in 2 minuten...

Dat is niet echt een groot issue, ja, het laat zien welke modules, paden en versies er zijn, maar dan moet je nog met een (hack)script aan de gang. Mocht je een beveiligingssysteem draaien op de server, dan worden deze exploits vaak opgemerkt, maar inderdaad helaas ook vaak niet.

Een systeem openzetten als PHPMyAdmin, Wordpress, etc. is vele malen erger en veel 'eenvoudiger' om te hacken.

[ Voor 10% gewijzigd door HollowGamer op 27-03-2017 20:52 ]

[phex]

Ik maak me meer zorgen over het feit dat is een Symfony site is die in development mode draait.
Dat betekent dat, als je een 404 triggert, je via de routes profiler in de debugbar _alle_ routes kan zien (zoals Export CSV).

Daarnaast als je een exception weet te triggeren en in de stacktrace een database connectie gemaakt, dat je de database credentials kan zien.

Met een beetje pech is dit op shared hosting dezelfde als de ftp user/pass.

[Robbbbbbbb]

phex schreef op dinsdag 28 maart 2017 @ 11:24:
Ik maak me meer zorgen over het feit dat is een Symfony site is die in development mode draait.
Dat betekent dat, als je een 404 triggert, je via de routes profiler in de debugbar _alle_ routes kan zien (zoals Export CSV).

Daarnaast als je een exception weet te triggeren en in de stacktrace een database connectie gemaakt, dat je de database credentials kan zien.

Met een beetje pech is dit op shared hosting dezelfde als de ftp user/pass.

Dit zijn inderdaad de handige functies van Symfony debug.

Kijk hier maar eens naar:
*snip*

[ Voor 8% gewijzigd door Creepy op 03-04-2017 13:26 ]

[4rn0]

Of deze ...
*snip*

[ Voor 69% gewijzigd door Creepy op 03-04-2017 13:21 ]

[Cartman!]

*snip*

[ Voor 56% gewijzigd door Creepy op 03-04-2017 13:21 ]

[Tsunami]

Gebruikersnaam en wachtwoord voor *snip* was ook binnen 2 minuten geraden... Dan zie je inderdaad iedereen die geregistreerd heeft.

[ Voor 39% gewijzigd door Creepy op 03-04-2017 13:21 ]

[TommyboyNL]

4rn0 schreef op zaterdag 1 april 2017 @ 21:59:
Of deze ...

Gelukkig staat de database niet open naar het internet. Of toch wel...

[ Voor 18% gewijzigd door Creepy op 03-04-2017 13:21 ]

[Barryvdh]

Tsunami schreef op zaterdag 1 april 2017 @ 22:25:
Gebruikersnaam en wachtwoord voor ... was ook binnen 2 minuten geraden... Dan zie je inderdaad iedereen die geregistreerd heeft.

Let er wel op dat, ook al is het slecht beveiligd is, hacken nog steeds illegaal is. Dus volgens mij in principe ook toegang verschaffen tot de admin en/of de database.

Ik neem aan dat je alleen gekeken hebt of toegang mogelijk was en toen direct het bedrijf gemaild hebt?

[ Voor 4% gewijzigd door Creepy op 03-04-2017 13:22 ]

[Tsunami]

Snap ik, er is ook niks kwaadaardigs te doen, je kan alleen zoals eerder al gezegd de gegevens downloaden (niet gedaan). Ik weet niet of @b2vjfvj75gjx7 inmiddels al een antwoord heeft, maar ik stuur met alle plezier nog een mail naar onepagewebs.it.

[ Voor 3% gewijzigd door Tsunami op 02-04-2017 09:20 ]

[b2vjfvj75gjx7]

Tsunami schreef op zondag 2 april 2017 @ 09:20:
Snap ik, er is ook niks kwaadaardigs te doen, je kan alleen zoals eerder al gezegd de gegevens downloaden (niet gedaan). Ik weet niet of @b2vjfvj75gjx7 inmiddels al een antwoord heeft, maar ik stuur met alle plezier nog een mail naar onepagewebs.it.

Nope, niets gehoord verder.

Als ik de info uit PHPinfo() echter volg, kom je ook uit bij het cPanel - *snip*

En met de credentials die hierboven (in de .YAML file) al waren blootgelegd, en de brakke login van het CMS zelf - ben je dan inderdaad zo binnen...

[ Voor 2% gewijzigd door Creepy op 03-04-2017 13:22 ]

[Creepy]

Ik heb ff wat info verwijderd. Een deel van jullie zijn effectief aan het inbreken en dat kan op zichzelf al strafbaar zijn. Daarnaast krijg ik niet het idee dat iedereen het netjes heeft gemeld aan de beheerder. Dus mocht je zaken hebben gevonden, geef het door zodat er hopelijk wat aan gedaan kan worden. Discussie over hoe dit soort zaken toch kan ontstaan is prima, maar als er weer info wordt gegeven over hoe er daadwerkelijk bij te kunnen etc, dan gaat het topic alsnog dicht

[b2vjfvj75gjx7]

Creepy schreef op maandag 3 april 2017 @ 13:25:
[mbr]Ik heb ff wat info verwijderd. Een deel van jullie zijn effectief aan het inbreken en dat kan op zichzelf al strafbaar zijn.

Hopelijk reageren ze daar alsnog (dagen terug al gemaild met alle betrokkenen) of zien ze aan hun log-files dat er toch wel veel verkeer van dit forum naar hun back-end gaat