Is wetransfer veilig?

[satya]

Ik kwam een topic op twitter tegen waarin wordt gesteld dat uitwisseling via wetransfer niet veilig zou zijn en waaruit ik opmaak dat men zelfs journalisten schade heeft berokkend.

https://twitter.com/danielverlaan/status/1065608642743975936

Weet iemand hier meer van?

[Sethro]

Geef me is een goede reden waarom je dit soort diensten wel zou vertrouwen?

[Henk007]

Geen idee, maar als ik iet via dit soort diensten met iemand deel, zorg ik er altijd voor dat ik het voor het verzenden voorzie van voldoende veilige encryptie (bijv AES256)

[HKLM_]

Je geeft je data aan andere mensen zonder dat je weet waar ze het opslaan en of ze het wel echt verwijderen daarna.

Dat is wel voldoende toch om zo’n dienst niet te gebruiken?

[ Voor 36% gewijzigd door HKLM_ op 22-11-2018 17:40 ]

[Josk79]

Zolang het geen gevoelige informatie is is er niet zoveel aan de hand. Je bent zelf verantwoordelijk voor je data en indien nodig kun je een encrypted archive sturen.

[CAPSLOCK2000]

satya schreef op donderdag 22 november 2018 @ 17:34:
Ik kwam een topic op twitter tegen waarin wordt gesteld dat uitwisseling via wetransfer niet veilig zou zijn en waaruit ik opmaak dat men zelfs journalisten schade heeft berokkend.

https://twitter.com/danielverlaan/status/1065608642743975936

Weet iemand hier meer van?

Het is zo veilig als de kluisjes bij het lokale zwembad. Die helpen prima om te voorkomen dat iemand per ongeluk jouw jas meeneemt en tegen gelegenheidsdieven. Een gedreven dief breekt die kluisjes echter zo open. En de badmeester heeft een sleutel, dus die kan er sowieso in.

Voor de meeste mensen die een onbelangrijke file willen uitwisselen met hun familie voldoet het prima, maar ik zou er nooit zakelijk iets mee doen.

[b2vjfvj75gjx7]

Je moet het wel even in de context plaatsen.

De afzender van dat bericht is Daniël Verlaan, een wanabee journalistje van RTL die Scotty loopt te pluggen.

Scotty is een startupje dat, zonder kennis van zaken, roept dat WeTransfer onveilig is en zij het 100% beter doen (cool, kom maar met bewijs).

Daniël mag dan voor RTL Boulevard even aanschuiven en roepen dat WeTransfer journalisten bedreigt (hij bedoelt dus dat WeTransfer vanwege smaad en laster contact met hem heeft opgenomen).

Dan komt dat mannetje Schellevis (de goeroe bij NOS, vroeger Tweakers-adept) er nog bij die ook moord en brand schreeuwt, that's it.

Skotty is een onbeduidend bedrijf en probeert ten kosten van WeTransfer publiciteit te zoeken; dat is ze gelukt.

Sowieso... als je het niet vertrouwd, stuur dan niets en anders 100% encrypten en het password op een andere manier verzenden.

En WeTransfer is vooral populair bij marketing- en development / designers; die kunnen dan hun assets snel overschieten, zonder gedoe met sFTP of cloudopslag.

Ik zou het sowieso niet gebruiken voor gevoelige zaken, los van WeTransfer - Skotty is al helemaal zo'n "zie ons hip doen met een MacBoekje club, die lopen te geilen op de tafel bij DDWD".

- edit - die kansloze reactie ook van Daniël / Klöpping-wannabee;

p.s. aangezien WeTransfer niet de telefoon opneemt en mij niet eens even zelf heeft opgebeld: jullie horen van onze juristen

Direct dreigen met "onze" juristen (lees "RTL" juridische afdeling) die hij "persoonlijk" wel even op WeTransfer afjaagt om ze kapot te maken. Want Signal is veiliger dan WhatsApp (zegt hij...).

- edit2 - Onze Daniël met zijn MacBook Air...



Balkje is van hem zelf, want dat is kapot origineel - je weet zelluf!!1!



Deel van het artikel waarin hij, zonder research, Skotty loopt te pluggen (en waar WeTransfer dus op reageert - ook omdat ze hun IP moeten verdedigen, natuurlijk).

[ Voor 24% gewijzigd door b2vjfvj75gjx7 op 22-11-2018 18:49 ]

[satya]

Top @b2vjfvj75gjx7 dat je een en ander in een begrijpbaar perspectief zet. Dank.

[CH4OS]

Ach ja, wat men tegenwoordig al niet doet voor een beetje (media)aandacht...

[b2vjfvj75gjx7]

satya schreef op donderdag 22 november 2018 @ 18:33:
Top @b2vjfvj75gjx7 dat je een en ander in een begrijpbaar perspectief zet. Dank.

Het gaat hier puur om het feit dat Daniël roept dat Skotty 100% veiliger is dan WeTransfer.

Nu heb ik voor de lol even een snelle check gedaan wie dat Skotty nu is.

Wel nu, ze bestaan sinds een jaar, vier leden en hebben een crappy site.

1) https://skotty.io/over

Hier gaan Engels en Nederlands in elkaar over, hun CMS (if any) of content-management is dus niet op orde.

2) https://skotty.io/assets/illustrations/close.svg [view source]

Ze gebruiken unencrypted assets, zodat je ziet dat ze bv. alles op de Mac maken, in Sketch - SVG kan code bevatten en ze hebben de meta-data niet gewist (security issue)

3) https://matomo.skotty.io/

Vergeten de inlog van hun analytics software (Piwik, dat scheelt) achter een .htaccess te zetten

4)

Ik heb me aangemeld en ze accepteren email-adressen van temporary-mail-accounts; vergeten te blacklisten dus...

5)

Aanmelden gaat alleen als je een mobielnummer achterlaat (ja, doei...) en de verificatie gaat... via SMS - unencrypted dus (geen probleem, daar is SMS ook nooit voor bedoeld, maar ik haak hier al af).,

Kortom; wat mij betreft Skotty #out

WeTransfer is NOOIT bedoeld voor privacy-gevoelige zaken, en doet het (wat dat betreft) gewoon goed - Skotty profileert zich als secure en heeft binnen 1 minuut al 5 relatief serieuze issues te pakken.

RTL mag beter onderzoek doen, voor ze juristen op een onbeduidende Apple-partijtje afsturen.

[b2vjfvj75gjx7]

(en nee, dat is niet mijn telefoonnummer - vriend)

[CH4OS]

b2vjfvj75gjx7 schreef op donderdag 22 november 2018 @ 18:40:

Want de website en hoe icoontjes worden gemaakt, zegt inderdaad iets over hun dienst... Sorry, maar om hun website af te kraken, hoeft hun dienst nog niet slecht of onbeveiligd te zijn. Het stukje tweetalig op een pagina is inderdaad niet helemaal netjes, maar then again; dat zegt niets over hun dienst die ze leveren. Voor hetzelfde geldt heeft een ander bedrijf hun website ontwikkeld. Dus boehoe, je hebt een foutje gevonden op de website, dan moet het wel een ruk bedrijf zijn inderdaad.

Het enige wat je met jouw post nu zegt is dat ze SMS gebruiken voor 2FA, wat inderdaad bedenkelijk is en waar betere alternatieven voor zijn.

[ Voor 26% gewijzigd door CH4OS op 22-11-2018 18:48 ]

[b2vjfvj75gjx7]

CH4OS schreef op donderdag 22 november 2018 @ 18:47:
[...]
Want de website en hoe icoontjes worden gemaakt, zegt inderdaad iets over hun dienst...

Ja... SVG kan javascript bevatten en als je de source van hun SVG ziet, weet je dat ze het niet gewist hebben (en dus geen audit op de code van je assets).

SVG = 100% DOM en dus gevoelig voor XSS...

https://github.com/swissk...%20injection#xss-in-files

code:

<?xml version="1.0" standalone="no"?>
<!DOCTYPE svg PUBLIC "-//W3C//DTD SVG 1.1//EN" "http://www.w3.org/Graphics/SVG/1.1/DTD/svg11.dtd">

<svg version="1.1" baseProfile="full" xmlns="http://www.w3.org/2000/svg">
  <polygon id="triangle" points="0,0 0,50 50,0" fill="#009900" stroke="#004400"/>
  <script type="text/javascript">
    alert(document.domain);
  </script>
</svg>

Ik heb zo vaak een proof of concept gemaakt waarbij je een sessie kan overnemen via code in een SVG dat je niet serieus kan roepen dat je veilig bezig bent, als je de meta-data van je SVG niet schoonmaakt...

https://deadliestwebattac...njection-quick-reference/

Ik kan je code-examples geven, upload je SVG en binnen no-time heb je een security-breach.

Kom op, ze meldden zelf het versienummer in hun SVG code - zodat je er weer een attack-vector bij hebt...

code:

<!-- Generator: Sketch 52.2 (67145) - http://www.bohemiancoding.com/sketch -->

Notabene via http gedownload op hun MacBook Air...



Check afbeelding... https://deathgrunt.com/tmp/foo.svg ... als je bv. de meta-data van je afbeelding uitleest (om een .alt of .title tag te achterhalen, en je filtert de code niet - dan voer je dus direct een javascript uit... met een plaatje).

[ Voor 35% gewijzigd door b2vjfvj75gjx7 op 22-11-2018 19:02 ]

[CH4OS]

@b2vjfvj75gjx7 De bewering gaat over de dienst, niet over de website. Die website kan door een derde zijn ontwikkeld en zegt dus niet per definitie iets over de dienst die ze leveren.

[b2vjfvj75gjx7]

CH4OS schreef op donderdag 22 november 2018 @ 18:54:
@b2vjfvj75gjx7 De bewering gaat over de dienst, niet over de website. Die website kan door een derde zijn ontwikkeld en zegt dus niet per definitie iets over de dienst die ze leveren.

Mee eens, maar als ik naar de tandarts ga en hij heeft zelf een rottend gebit, doe ik er toch geen zaken mee... hoe goed zijn tanden-skills verder ook zijn.

[FirePuma142]

b2vjfvj75gjx7 schreef op donderdag 22 november 2018 @ 17:57:
Je moet het wel even in de context plaatsen.

De afzender van dat bericht is Daniël Verlaan, een wanabee journalistje van RTL die Scotty loopt te pluggen.

Ah, we beginnen met een persoonlijke aanval, altijd fijn. Reageren op de rest van je rant laat ik maar even achterwege, maar het lijkt me in algemene zin verstandig je iets meer in de materie te verdiepen voor je een grote mond opzet.

[b2vjfvj75gjx7]

FirePuma142 schreef op donderdag 22 november 2018 @ 19:08:
[...]


Ah, we beginnen met een persoonlijke aanval, altijd fijn. Reageren op de rest van je rant laat ik maar even achterwege, maar het lijkt me in algemene zin verstandig je iets meer in de materie te verdiepen voor je een grote mond opzet.

Hi Daniël, leuk dat je reageert.

Heb je ook net gezien dat Skotty haar veiligheid helemaal niet goed op orde heeft?

- lol - https://skotty.io/tweakers.net/nee-je-mag-dit-niet-proberen.html

Ze schrijven gewoon weg wat je invoert, als je het dubbel encode (encode "encode") ben je al een stap verder in hun "veilige" omgeving.

Sorry, SMS validatie, SVG met scripting, $_GET parameters, die site is een zooitje.

[ Voor 31% gewijzigd door b2vjfvj75gjx7 op 22-11-2018 19:12 ]

[Glashelder]

Maakt dat wat uit als de end-to-end encryptie in orde is? Iets wat WeTransfer sowieso niet heeft, dus het artikel waar het hier over lijkt niet te liegen..

Verder vind ik je erg aggresief. Werk je voor WeTransfer ofzo? Dan weet ik welke dienst ik niet meer moet gebruiken..

[b2vjfvj75gjx7]

Glashelder schreef op donderdag 22 november 2018 @ 19:20:
Maakt dat wat uit als de end-to-end encryptie in orde is? Iets wat WeTransfer sowieso niet heeft, dus het artikel waar het hier over lijkt niet te liegen..

Verder vind ik je erg aggresief. Werk je voor WeTransfer ofzo? Dan weet ik welke dienst ik niet meer moet gebruiken..

Nee, ik werk niet voor WeTransfer.

Ja, WeTransfer is wel encrypted - https://wetransfer.zendes...-secure-is-your-platform-

En weet je wat leuk is?

Een arrogant journalistje plugged Skotty - daar ging TS over.

Als blijkt dat Skotty dan alles fout doet, is het goed om daar op te wijzen.

Zo zitten ze bv. als host op PCextreme.nl - niet de beste reputatie, gebruiken ze notabene HubSpot om gebruikers te tracken...



...en hebben ze één review (goed voor SEO) die notabene afkomstig is van de oprichter zelf...



Sorry, dan doe je je werk als onderzoeksjournalist die roept dat Skotty 100% goed is en WeTranfser kut, gewoon niet goed (en daar ging het bericht over, of Skotty betrouwbaar is).

[Marber]

@b2vjfvj75gjx7 je haalt duidelijk terechte punten aan

Als hun website al zo crappy is en ze basis qua Security niet op orde hebben, dan zal hun product ook niet op orde zijn...

Enne voor diegene die over de toon van deadgrunth vallen. Iets met koekjes en eigen deeg. Als deze club ten koste van een concullega hun product moeten lanceren, dan mag daar kritisch op gereageerd worden...

[b2vjfvj75gjx7]

Marber schreef op donderdag 22 november 2018 @ 19:29:
@b2vjfvj75gjx7 je haalt duidelijk terechte punten aan

Als hun website al zo crappy is en ze basis qua Security niet op orde hebben, dan zal hun product ook niet op orde zijn...

Enne voor diegene die over de toon van deadgrunth vallen. Iets met koekjes en eigen deeg. Als deze club ten koste van een concullega hun product moeten lanceren, dan mag daar kritisch op gereageerd worden...

Ik geef toe dat ik met gestrekt been er in ga en daarmee discussie lastig maak.

Maar dat komt echt door die no-no's van mensen als Daniël en Klöpping die zonder aantoonbare kennis maar wat roepen om te scoren (of hun eigen netwerk te promoten, want zo zit het ook nog eens) vanaf hun MacBook Air proberen te influencen hoe goed ze zelf en hun productjes wel niet zijn.

Ik zal op mijn toon letten

[Marber]

Nee hou die toon aub (in dit topic zo). Heerlijk om te lezen.

[Baazie]

DEEL NOOIT gevoelige data op een plek waar jij geen controle over hebt simpel as that.

[gekkie]

b2vjfvj75gjx7 schreef op donderdag 22 november 2018 @ 19:29:
[...]
Ja, WeTransfer is wel encrypted - https://wetransfer.zendes...-secure-is-your-platform-

Als je dan toch zo kritisch bent, dan neem ik aan dat je dit toch ook niet voor zoete koek slikt?
Wat in dat "artikel" wordt beschreven als "encrypted" zal vermoedelijke ook weinig opleveren, gokje dat die 256bit AES leuk disk-ecryptie is, wat leuk is "at rest", maar dat is die data met enige waarschijnlijkheid nooit.
Daarnaast is het met een key die hun zelf genereren en uitgeven altijd de decrypten.

Kortom alleen met end-to-end, en dan eigenlijk ook nog opensource end-to-end, en dan eigenlijk ook alleen nog zeer regelmatig geauditte end-to-end, kun je er een tikkie op gaan vertrouwen.

[Baazie]

@b2vjfvj75gjx7 en ja je hebt wel gelijk die skotty heeft nog wel wat basic's in te vullen.
https://securityme.uk/rep...5fedcb5d4a&action=Request

[CH4OS]

b2vjfvj75gjx7 schreef op donderdag 22 november 2018 @ 18:55:
Mee eens, maar als ik naar de tandarts ga en hij heeft zelf een rottend gebit, doe ik er toch geen zaken mee... hoe goed zijn tanden-skills verder ook zijn.

Een 'practice what you preach' dus. Zou ze sieren inderdaad, maar nogmaals, ook na jouw andere posts, hoeft dat echt niet per se te betekenen dat hun dienst ook prut is. Als een derde partij de website ontwikkeld heeft, kun je ook al niet meer per definitie zeggen dat hun product / dienst dan ook maar ruk is. Dat is vrij rücksichtloss als je het mij vraagt en ben je gewoon aan het ranten, for whatever reason.

@Baazie Zo'n security report is "leuk", maar ook dat zegt alleen wat over de website, niet over de dienst zelf. En ja, natuurlijk moet je ook zelf doen wat je verkondigd, maar wellicht ligt dat voor de website in handen van een derde partij en heeft Skotty ook maar te wachten tot zij er tijd voor hebben (of extra gaan betalen).

FirePuma142 schreef op donderdag 22 november 2018 @ 19:08:
Ah, we beginnen met een persoonlijke aanval, altijd fijn. Reageren op de rest van je rant laat ik maar even achterwege, maar het lijkt me in algemene zin verstandig je iets meer in de materie te verdiepen voor je een grote mond opzet.

Maar vooralsnog zie ik het jou ook niet tegenspreken... Wat dat betreft is de vergelijking naar WeTransfer en indirect te claimen dat zij niet secure zouden zijn (zonder de exacte details van beide partijen te weten) natuurlijk net zo goed een grote mond opzetten, voor een journalist zou je eerder objectiviteit verwachten en niet vooringenomenheid.

Vooralsnog wordt WeTransfer dus alleen maar "gebruikt" zodat Skotty een naam kan gaan maken, wat ook gewoon verre van netjes is.

[ Voor 47% gewijzigd door CH4OS op 22-11-2018 19:55 ]

[b2vjfvj75gjx7]

Baazie schreef op donderdag 22 november 2018 @ 19:44:
@b2vjfvj75gjx7 en ja je hebt wel gelijk die skotty heeft nog wel wat basic's in te vullen.
https://securityme.uk/rep...5fedcb5d4a&action=Request

Ik ben niet zo van de beveiliging, maar als je ziet dat ze in de header EN body van een pagina 2x exact hetzelfde (gigantische) script aanroepen ... https://app.skotty.io/css/index.css ... hun icoon een titel laten wegschrijven in je browser ... https://cdn01.skotty.io/branding/logo/beta_green.svg ... en ze vier manieren hebben om index-protection tegen te gaan, dan ga ik er aan voorbij...

Daarnaast gaat http://www.skotty.nl naar https://skotty.io/ maar zit er geen valide redirect op http://skotty.nl/foo



Nogmaals - het gaat hier niet om Skotty, het gaat om een journalist die roept dat Skotty veilig is en "zijn" journalisten advocaten wel even op WeTranfer afstuurt om die reden.

[ Voor 4% gewijzigd door b2vjfvj75gjx7 op 22-11-2018 20:00 ]

[Baazie]

@CH4OS Je kunt niet met drogen ogen een product aanbieden waarbij je claimt dat het een secure product is, als je nog niet eens de basis van je eigen website niet eens op orde hebt.

Zelfs niet als je dit uitbesteed.

@b2vjfvj75gjx7 mijn ergernis ligt ook in het feit dat het door media veilig word geclaimd terwijl er niks bewezen is (on afhankelijk pentest rapport?) en dat het visite kaartje als in website niet houd aan basis beveiliging.

Bijzonder irritant dat een journalist een oordeel veld over iets waar hij blijkbaar weinig verstand van heeft.

[ Voor 43% gewijzigd door Baazie op 22-11-2018 20:01 ]

[b2vjfvj75gjx7]

Baazie schreef op donderdag 22 november 2018 @ 19:55:
@CH4OS Je kunt niet met drogen ogen een product aanbieden waarbij je claimt dat het een secure product is, als je nog niet eens de basis van je eigen website niet eens op orde hebt.

Zelfs niet als je dit uitbesteed.

@b2vjfvj75gjx7 mijn ergernis ligt ook in het feit dat het door media veilig word geclaimd terwijl er niks bewezen is (on afhankelijk pentest rapport?) en dat het visite kaartje als in website niet houd aan basis beveiliging.

Bijzonder irritant dat een journalist een oordeel veld over iets waar hij blijkbaar weinig verstand van heeft.

Dus dat...

En dat de infra van hun site / app niet klopt, de oprichter zichzelf 5 sterren toekent (zie hierboven) en ze enkel assets hebben van Apple hardware met avatars van zichzelf...



Het zegt niets over hun echte product, maar als ik een hoer moet neuken waarvan ik denk dat ze aan de speed is, besmet met cholera, uit haar bek stinkt en onder de huidschilfers zit... dan laat ik me liever uit elkaar trekken door haar concurrent.

[Dwarrelegel]

Advocaat van de duivel hier: Wat als je dezelfde analyze uitvoert op sites van "gerespecteerde" producten als signal?

Persoonlijk valt mij voornamelijk op dat er 0 info op de site staat over de gebruikte technieken om deze beveiliging te krijgen. Is dit inhouse ontwikkeld of zijn het bestaande geteste technieken?

[b2vjfvj75gjx7]

Dwarrelegel schreef op donderdag 22 november 2018 @ 20:07:
Advocaat van de duivel hier: Wat als je dezelfde analyze uitvoert op sites van "gerespecteerde" producten als signal?

Dat laat ik graag aan expert Daniël over - ik ben slechts striptekenaar (en dat is geen grap, ditmaal).

[Josk79]

b2vjfvj75gjx7 schreef op donderdag 22 november 2018 @ 18:40:
[...]

1) https://skotty.io/over

Hier gaan Engels en Nederlands in elkaar over, hun CMS (if any) of content-management is dus niet op orde.

2) https://skotty.io/assets/illustrations/close.svg [view source]

Ze gebruiken unencrypted assets, zodat je ziet dat ze bv. alles op de Mac maken, in Sketch - SVG kan code bevatten en ze hebben de meta-data niet gewist (security issue)

3) https://matomo.skotty.io/

Vergeten de inlog van hun analytics software (Piwik, dat scheelt) achter een .htaccess te zetten

4) [Afbeelding]

Ik heb me aangemeld en ze accepteren email-adressen van temporary-mail-accounts; vergeten te blacklisten dus...

5) [Afbeelding]

Aanmelden gaat alleen als je een mobielnummer achterlaat (ja, doei...) en de verificatie gaat... via SMS - unencrypted dus (geen probleem, daar is SMS ook nooit voor bedoeld, maar ik haak hier al af).,

Kortom; wat mij betreft Skotty #out

WeTransfer is NOOIT bedoeld voor privacy-gevoelige zaken, en doet het (wat dat betreft) gewoon goed - Skotty profileert zich als secure en heeft binnen 1 minuut al 5 relatief serieuze issues te pakken.

RTL mag beter onderzoek doen, voor ze juristen op een onbeduidende Apple-partijtje afsturen.

1) Slordig, maar geen security issue
2) Geen security issue
3) Zou een goede extra beveilingsstap zijn, maar is geen noodzaak. Geen security issue
4) Geen security issue
5) 2FA. Goed bezig! Geen security issue

Ik kan geen oordeel vellen over de skotty dienst, maar je 5 punten slaan kant nog wal.

[b2vjfvj75gjx7]

Josk79 schreef op donderdag 22 november 2018 @ 20:13:
[...]


1) Slordig, maar geen security issue
2) Geen security issue
3) Zou een goede extra beveilingsstap zijn, maar is geen noodzaak. Geen security issue
4) Geen security issue
5) 2FA. Goed bezig! Geen security issue

Ik kan geen oordeel vellen over de skotty dienst, maar je 5 punten slaan kant nog wal.

Het zijn ook niet 100% security issues, maar het geeft wel aan dat ze hun zaakjes, aan de front-end, niet op orde hebben.

En het gaat niet over Skotty, het gaat over een journalist die Skotty plugged, ten koste van WeTransfer - waarbij blijkt, na wat basis-onderzoek, dat Skotty verre van professioneel is (en dus verre van betrouwbaar, omdat ze claimen het robuuste alternatief van WeTransfer te zijn).

- edit - het niet checken van de DOM-code in je SVG is overigens 100% een security-issue...

https://html5sec.org/#svg

Ik heb meerdere proof of concepts geschreven, en gezien, waarbij SVG met code uitgevoerd wordt (Kirby, Drupal, WordPress, Gravity, Bold, etc...).

Je moet je code in SVG gewoon contamineren en valideren, niet zo maar uploaden vanuit Sketch.

- SVG - echt, check je SVG voordat je upload - er kunnen codes inzitten die je niet wil...

https://www.svgminify.com/

https://jakearchibald.github.io/svgomg/

https://github.com/RazrFalcon/svgcleaner/

https://github.com/RazrFalcon/svgcleaner-gui [met interface]

SVG is te gek, maar ga er wel goed mee om...

[ Voor 29% gewijzigd door b2vjfvj75gjx7 op 22-11-2018 20:40 ]

[Josk79]

Ok, point taken maar zeg dan niet "Skotty profileert zich als secure en heeft binnen 1 minuut al 5 relatief serieuze issues te pakken". Kijk uit dat je geen jurist op je dak krijgt

En.... de genoemde svg op skotty is gewoon clean dus niks aan de hand. Of vind je bijv. html met een "generator"-metatag ook een serieus security issue?

[ Voor 29% gewijzigd door Josk79 op 22-11-2018 20:23 ]

[b2vjfvj75gjx7]

Josk79 schreef op donderdag 22 november 2018 @ 20:18:
Ok, point taken maar zeg dan niet "Skotty profileert zich als secure en heeft binnen 1 minuut al 5 relatief serieuze issues te pakken". Kijk uit dat je geen jurist op je dak krijgt

We agree

Het gaat ook niet om Skotty, RTL moet gewoon niet van die inhoudsloze en pretentieuze stukjes schrijven.

Ze presenteren Skotty als veilig alternatief (niet dus, daar zijn we het wel over eens in grote lijnen) voor het onveilig (hoe dan?) WeTransfer.

Dan roept WeTransfer dat ze het er niet mee eens zijn, en dreigt RTL weer juristen op ze af te sturen...

Check gewoon je feiten, wie is Skotty, hoe is hun infra, voldoen ze aan alle specs, wat is de legacy van WeTransfer, etc... maar ga niet "kapot noncha" doen op Twitter met je 131 volgers en 4 comments...

[Josk79]

Volgens de review is het prima

[b2vjfvj75gjx7]

Josk79 schreef op donderdag 22 november 2018 @ 20:25:
Volgens de review is het prima

* * * * * Vijf sterren jonguh - wij zij' goed bezuggggg!!

[FirePuma142]

b2vjfvj75gjx7 schreef op donderdag 22 november 2018 @ 19:10:
[...]


Hi Daniël, leuk dat je reageert.

Heb je ook net gezien dat Skotty haar veiligheid helemaal niet goed op orde heeft?

- lol - https://skotty.io/tweakers.net/nee-je-mag-dit-niet-proberen.html

Ze schrijven gewoon weg wat je invoert, als je het dubbel encode (encode "encode") ben je al een stap verder in hun "veilige" omgeving.

Sorry, SMS validatie, SVG met scripting, $_GET parameters, die site is een zooitje.

Daniël? Wat een briljante deductie. Niet dat er iets van waar is overigens. Maar goed, te zien aan de rest van je argumentatie schort het daar wel vaker aan.

Hoe dan ook, fijn dat je over wat basale technische kennis lijkt te beschikken, van harte gefeliciteerd. Je doet nogal boude uitspraken over de veiligheid van het een en de veiligheid van het ander zonder dat je dat aantoonbaar maakt. Je moet echt een tandje bijschakelen om dat voor elkaar te krijgen. Dus channel je innner scriptkiddie en sla je slag.

@CH4OS En hint voor @b2vjfvj75gjx7: Bewijs van de zwakte van het een, is niet het bewijs voor de kracht van het ander. En dan is die zwakte bij lange na niet aangetoond, wellicht in de verte aannemelijk gemaakt. Dan is het geroeptoeter over 'pluggen' enzo ook nogal overdreven. Het is allemaal nogal slapjes.

[ Voor 11% gewijzigd door FirePuma142 op 22-11-2018 20:51 ]

[b2vjfvj75gjx7]

FirePuma142 schreef op donderdag 22 november 2018 @ 20:45:
Dan is het geroeptoeter over 'pluggen' enzo ook nogal overdreven. Het is allemaal nogal slapjes.

Heb je de Twitter-kots en bijbehorend artikel überhaupt wel gelezen?

[Giesber]

b2vjfvj75gjx7 schreef op donderdag 22 november 2018 @ 20:21:
Ze presenteren Skotty als veilig alternatief (niet dus, daar zijn we het wel over eens in grote lijnen) voor het onveilig (hoe dan?) WeTransfer.

Ah mooi.

Jij lijst 5 zaken op die eigenlijk stiekem totaal geen security issue zijn, en plots is heel tweakers het erover eens dat die dienst onveilig is.

Dat is even erg dan uit het niets stellen dat WeTransfer onveilig is. Als je zit te roepen dat iemand niet zomaar zonder diepgaand onderzoek of kennis dingen mag zeggen, wil jij dat dan ook niet doen alstublieft?

Ik heb even een "veilige" dienst (ISO 27001 gecertifieerd, en ze hebben een bounty programma (nog niet gekraakt), dus zullen we die dienst op zijn minst als relatief veilig beschouwen?) door die scan gehaald: https://securityme.uk/rep...6e97076f13&action=Request

De "veilige" dienst ondersteunt ook een serie aan achterhaalde ciphers, al hebben ze wel het gros van de security headers goed staan. En oh nee, kijk eens naar hun logo: https://prodfrontendcdn.a.../common/logo.a8264835.svg
Een Sketch commentaar erin! Vlug, claim de bounty!

Ah wacht, dat is eigenlijk pas een security issue als je een super specifiek gericht virus op de ontwikkel PC hebt (maar dan hebben ze volgens mij ergere issues dan een mogelijk geinfecteerde .svg), of als het upload proces van de .svg's inhoudt dat je ze naar een hacker mailt die ze dan voor jou op de server zet. Bij wijze van spreken dan, voor je dit te letterlijk neemt.

[prutser001]

Ik snap eigenlijk niet waarom mensen Wetransfer gebruiken? Gratis variant is maar 2GB.
Maak een Gmail account aan, heb je google drive (15GB?) upload het daar en maak een share link? Je kan het Rarren+password+encrypten. Supermakkelijk..

[FirePuma142]

b2vjfvj75gjx7 schreef op donderdag 22 november 2018 @ 21:01:
[...]


Heb je de Twitter-kots en bijbehorend artikel überhaupt wel gelezen?

Zeker. Jij ook? De opmerking "openbare beta" heb je voor het gemak even overgeslagen?

Overigens, gaat het een beetje? Je komt zo boos over, alsof ik Daniel je iets misdaan heeft. Niet bijzonder sympathieke woordkeuze ook over het algemeen. Wordt het allemaal niet sterker van.

[b2vjfvj75gjx7]

Giesber schreef op donderdag 22 november 2018 @ 21:05:
[...]

Ah mooi.

Win win

We bespreken zaken over security en privacy op inhoudelijk niveau, en zetten daarmee blaaskaakje Daniël buitenspel.

Het belangrijkste (voor mij) is dat je echt moet opletten wat je met je SVG doet (Tweakers doet dat overigens wel goed).

Bedankt voor je positieve bijdrage!

[PilatuS]

prutser001 schreef op donderdag 22 november 2018 @ 21:06:
Ik snap eigenlijk niet waarom mensen Wetransfer gebruiken? Gratis variant is maar 2GB.
Maak een Gmail account aan, heb je google drive (15GB?) upload het daar en maak een share link? Je kan het Rarren+password+encrypten. Supermakkelijk..

Als je iemand even 200MB aan foto's wil sturen is het toch wel erg handig. Ook is het lekker simpel voor mensen die wat minder kennis hebben.

[b2vjfvj75gjx7]

FirePuma142 schreef op donderdag 22 november 2018 @ 21:08:
[...]


Zeker. Jij ook? De opmerking "openbare beta" heb je voor het gemak even overgeslagen

Nee, die werd zelf XSS in mijn browser geïnjecteerd...

Maar dat je een privacy product (na twee jaar...) als 'openbare bèta' presenteert, leunt op de influencer skills van een RTL adaptje en dan roept dat je "WeTransfer" wel even kapot gaat maken, is best... zielig.

(net als ik - de medicijnen komen morgen binnen).

[CH4OS]

FirePuma142 schreef op donderdag 22 november 2018 @ 20:45:
[...]


Daniël? Wat een briljante deductie. Niet dat er iets van waar is overigens. Maar goed, te zien aan de rest van je argumentatie schort het daar wel vaker aan.

Hoe dan ook, fijn dat je over wat basale technische kennis lijkt te beschikken, van harte gefeliciteerd. Je doet nogal boude uitspraken over de veiligheid van het een en de veiligheid van het ander zonder dat je dat aantoonbaar maakt. Je moet echt een tandje bijschakelen om dat voor elkaar te krijgen. Dus channel je innner scriptkiddie en sla je slag.

@CH4OS En hint voor @b2vjfvj75gjx7: Bewijs van de zwakte van het een, is niet het bewijs voor de kracht van het ander. En dan is die zwakte bij lange na niet aangetoond, wellicht in de verte aannemelijk gemaakt. Dan is het geroeptoeter over 'pluggen' enzo ook nogal overdreven. Het is allemaal nogal slapjes.

Maar met argumenten (of nog liever bronnen) die jouw (imo boude) uitspraak staven (ervan uitgaande dat jij Daniël Verlaan bent), kom je ook niet op de proppen. Je weerlegt Deathgrunt zijn beweringen dus ook niet, terwijl hij laat zien met voorbeelden waar het aan schort (in elk geval op de website).

Dus in plaats van ongefundeerd een ander af te vallen kun je misschien beter jezelf wat constructiever opstellen in de discussie? Zoals eerder aangehaald door meerderen in het topic 'practice what you preach' en daar ben ik het zeker wel met hen mee eens.

[ Voor 5% gewijzigd door CH4OS op 22-11-2018 21:16 ]

[FirePuma142]

CH4OS schreef op donderdag 22 november 2018 @ 21:15:
[...]
Maar met argumenten die jouw (imo boude) uitspraak staven (ervan uitgaande dat jij Daniël Verlaan bent), kom je ook niet op de proppen. Je weerlegt Deathgrunt zijn beweringen dus ook niet, terwijl hij laat zien met voorbeelden waar het aan schort.

Dus in plaats van ongefundeerd een ander af te vallen kun je misschien beter jezelf wat constructiever opstellen in de discussie?

Er van uitgaande dat ik Daniël Verlaan ben. Je maakt een grapje zeker?

En nee, de voorbeelden van Deathgrunt laten niet zien waar het aan schort. Het is niet meer dan een vage indicatie. Maar als ik het goed begrijp verwacht je nu van mij dat ik aan ga tonen dat Skotti veilig is en WeTransfer onveilig, want dat is de enige manier om gefundeerd een discussie te voeren? Raar.

[ Voor 12% gewijzigd door FirePuma142 op 22-11-2018 21:20 ]

[Josk79]

De broncode is uitgelekt:

PHP:

$db->query("select filename from skotty_files where slug='" . $_GET['file'] . "'");
if ( ! $db->filename ) die("Cannot GET " . $_GET['file']); //Vermoedelijk een hacker

$content = file_get_contents($db->filename);
if (substr( $_GET['file'], -4 ) == '.svg' && false === strpos( $content, 'Sketch' ) ) {
  die("Forbidden " . $_GET['file']); //Vermoedelijk gehackte svg
}

//Alles veilig
echo $content;
die();

[CH4OS]

FirePuma142 schreef op donderdag 22 november 2018 @ 21:18:
Er van uitgaande dat ik Daniël Verlaan ben. Je maakt een grapje zeker?

Zou zeggen, kijk even terug in het topic. Jij reageert op een reactie van iemand, die nogal een persoonlijke aanval doet, je voelt je dus in elk geval aangesproken. Dus vandaar dat er mensen zijn die dan dus gaan denken dat jij vermoedelijk dus die Daniël Verlaan bent.

[ Voor 4% gewijzigd door CH4OS op 22-11-2018 21:21 ]

[FirePuma142]

CH4OS schreef op donderdag 22 november 2018 @ 21:19:
[...]
Zou zeggen, kijk even terug in het topic. Jij reageert op een reactie van iemand, die nogal een persoonlijke aanval doet. Dus vandaar dat er mensen zijn die dan dus gaan denken dat jij vermoedelijk dus die Daniël Verlaan bent.

Pffffffrt. OK. Dus als ik iemand aanspreek op het doen van een persoonlijke aanval, dan ben ik vermoedelijk de aangevallene. Nee, helder. Logisch ook. Nondeju wat een onzin.

[CH4OS]

FirePuma142 schreef op donderdag 22 november 2018 @ 21:21:
Pffffffrt. OK. Dus als ik iemand aanspreek op het doen van een persoonlijke aanval, dan ben ik vermoedelijk rode aangevallene. Nee, helder. Logisch ook. Nondeju wat een onzin.

De logica dat je die persoon niet bent in zo'n geval zie ik anders even niet. Voor de rest mag je naar mij wel een normale toon aanslaan, ik val niets of niemand aan, ik ga alleen in tegen jouw reactie omdat die (in het begin van het topic) kant noch wal raakte.

[ Voor 19% gewijzigd door CH4OS op 22-11-2018 21:23 ]

[b2vjfvj75gjx7]

Josk79 schreef op donderdag 22 november 2018 @ 21:18:
De broncode is uitgelekt:

PHP:

$db->query("select filename from skotty_files where slug='" . $_GET['file'] . "'");
if ( ! $db->filename ) die("Cannot GET " . $_GET['file']); //Vermoedelijk een hacker

$content = file_get_contents($db->filename);
if (substr( $_GET['file'], -4 ) == '.svg' && false === strpos( $content, 'Sketch' ) ) {
  die("Forbidden " . $_GET['file']); //Vermoedelijk gehackte svg
}

//Alles veilig
echo $content;
die();

Humor. I like

Maar het niet checken van de code in je SVG is een serieus probleem (client-side, dus niet server-level zoals in deze code).

Je kan bv. de mime-type van een image checken en als je een SVG checked (met code) en dat niet correct parsed naar de client, heb je een serieus probleem.

Er zijn aardig wat attack-vectors blootgelegd (WordPress, 30% van wereldwijde sites - qua CMS) blokkeert zelfs SVG om die reden, dus als Skotty zonder controle SVG upload, hebben ze qua audit een serieus probleem.

- edit -

Tweakers doet het, na enkele jaren, wel goed... check image - view source - alle meta is weg (Skotty toont alle meta, en dus ook eventueel aanwezige code).

Overigens kunnen we dit topic inmiddels beter "Is Skotty onveilig" noemen...

[ Voor 13% gewijzigd door b2vjfvj75gjx7 op 22-11-2018 21:30 ]

[FirePuma142]

CH4OS schreef op donderdag 22 november 2018 @ 21:22:
[...]
De logica dat je die persoon niet bent in zo'n geval zie ik anders even niet. Voor de rest mag je naar mij wel een normale toon aanslaan, ik val niets of niemand aan, ik ga alleen in tegen jouw reactie omdat die (in het begin van het topic) kant noch wal raakte.

Dus de kans dat van de dik een half miljoen geregistreerde gebruikers je nu net degene treft die besproken wordt acht jij enigszins reëel? Kom op, een beetje realiteitszin kan geen kwaad. Een iets dikkere huid overigens ook niet, want als je je nu al onheus bejegend voelt is die wel heel erg dun.

[Giesber]

satya schreef op donderdag 22 november 2018 @ 17:34:
Ik kwam een topic op twitter tegen waarin wordt gesteld dat uitwisseling via wetransfer niet veilig zou zijn en waaruit ik opmaak dat men zelfs journalisten schade heeft berokkend.

https://twitter.com/danielverlaan/status/1065608642743975936

Weet iemand hier meer van?

Om nog even op de vraag te antwoorden: of WeTransfer veilig is hangt af waarvoor je het wil gebruiken. Ik ben het professioneel al tegen gekomen, en zag geen veiligheidsprobleem daarmee. Ik zou er echter niet zomaar ultra geheime documenten mee gaan versturen (denk aan winstcijfers van een beursgenoteerd bedrijf voor ze publiek bekend zijn). Die tweet zegt bijna niets over de veiligheid van WeTransfer, die zegt alleen dat WeTransfer geen end-to-end encryptie gebruikt.

End-to-end encryptie is theoretisch gezien heel goed voor de veiligheid, maar in de praktijk is het meer een soort van feature die het product veiliger doet lijken.

Laat mij die grove claim even toelichten met behulp van dit plaatje (de bron legt het ook uit: https://community.giffgaf...ncryption/ba-p/21407715):

Het komt er op neer dat bij end-to-end encryptie dat slot wordt vastgedraaid op de PC (of telefoon, ...) van de verzender, en het slot weer wordt opengemaakt op de PC van de ontvanger.
Als er geen end-to-end encryptie is dan worden die slotjes gesloten en opengemaakt op de server van de gebruikte dienst (WeTransfer in dit geval). Merk wel op dat de verbinding tussen de gebruikers en WeTransfer via https verloopt, dat is dus ook versleuteld, maar met andere slotjes (het https slotje haalt WeTransfer er weer af, en ze zetten hun eigen slotje erop).

In theorie is end-to-end encryptie dus beter omdat je zeker weet dat alles versleuteld is. In de praktijk kun je bij een fatsoenlijke partij (dat is WeTransfer wel denk ik) er wel van uit gaan dat ze de boel op orde hebben, en het bestand meteen bij het binnenkomen versleutelen.

Dan zijn er nog de argumenten van: ja, maar als daar ergens een fout in sluipt, wat dan?. Ja, maar als de NSA die server hackt kunnen ze de bestanden onversleuteld zien binnenkomen. Ja, maar wie zegt dat ze wel echt versleutelen.

De eerste 2 argumenten heb je bij end-to-end encryptie ook: daar kan ook een fout in sluipen, en wie weet heeft de NSA stiekem al de cipher van de end-to-end encryptie gehackt. Het derde punt blijft wel staan: je moet de partij vertrouwen dat ze meteen versleutelen, en ook niet tussendoor wat loggen of zo.

Van de andere kant moet je een dienst met end-to-end encryptie ook vertrouwen dat ze dat daadwerkelijk ook hebben ingebouwd.

En om nog even terug te komen op Skotty: ze gebruiken niet alleen "end-to-end" encryptie om een super veilige tool te maken, ze gebruiken ook de blockchain (onderaan op https://skotty.io/beveiliging). Aangezien ze zonder clients werken ga ik ervan uit dat alles op een server draait, en lijkt de blockchain geen enkele garantie te bieden op het read only zijn van de audit trail. Of toch niet meer garantie dan andere, veel simpelere mechanismen.

[Josk79]

@b2vjfvj75gjx7 je blijft het maar over die svg hebben, maar dat er een generator comment in zit is totaal geen issue. Als de service gebruikers inderdaad .svg files laat hosten dan moeten ze zeker even achter de oortjes krabben, maar dat heeft nul komma nul te maken met de svg file op hun site waar jij naar refereert.

[Jester-NL]

satya schreef op donderdag 22 november 2018 @ 17:34:
Ik kwam een topic op twitter tegen waarin wordt gesteld dat uitwisseling via wetransfer niet veilig zou zijn en waaruit ik opmaak dat men zelfs journalisten schade heeft berokkend.

https://twitter.com/danielverlaan/status/1065608642743975936

Weet iemand hier meer van?

Wat lees ik: Journalist schrijft een stukje over een start-up waarvan ze zeggen bij WT: 'goh, dat is nou niet helemaal waar en aardig, misschien moet journalist dat stukje even offline halen dan wel herformuleren'
Journalist kruipt (naar goed Amerikaans voorbeeld) achter een handvol advocaten van werkgever. Doet daarbij een 'Zij doen zomaar lelijk tegen mij'. [volgorde is van ondergeschikt belang] ^*
Start-up ziet zichzelf genoemd in combinatie met onaardige stemmingmakerij over WT
(...)
Iemand maakt topic op Tweakers en start-up wordt afgebrand.

Terug naar de vraag. Is WeTransfer onveilig? Zolang je je realiseert dat je data aan het delen bent, en dat dat eigenlijk nooit 100% veilig kan, als je daar derden bij nodig hebt, is er niet veel aan de hand.
Bedenk je wel dat je je data opslaat op de server van een derde. Je kan niet veel meer doen dan hopen dat zij zich houden aan de zaken die ze in hun SLA noemen. Maar als je daar geen probleem mee hebt, is WT best bruikbaar.

^*Die tweets zeggen (mijns inziens) meer over de journalist dan over zijn onderwerp.

[BLACKfm]

FirePuma142 schreef op donderdag 22 november 2018 @ 21:18:
[...]
Er van uitgaande dat ik Daniël Verlaan ben. Je maakt een grapje zeker?

Als ik de V&A reviews mag geloven, maakte die wel een grapje ja. Het zou wel heel bijzonder zijn als je je anonimiteit zo hoog in het vaandel hebt staan dat je voor dat soort doeleinden ook een schuilnaam zou gebruiken .

[ Voor 3% gewijzigd door BLACKfm op 23-11-2018 09:46 ]

[FirePuma142]

BLACKfm schreef op vrijdag 23 november 2018 @ 09:46:
[...]


Als ik de V&A reviews mag geloven, maakte die wel een grapje ja. Het zou wel heel bijzonder zijn als je je anonimiteit zo hoog in het vaandel hebt staan dat je voor dat soort doeleinden ook een schuilnaam zou gebruiken .

Voor V&A gebruik ik de tweede voornaam van mijn buurman. Mijn vertrouwde W.A. van Buren begon wat sleets te raken.

[Glashelder]

Jester-NL schreef op vrijdag 23 november 2018 @ 09:27:
[...]

Wat lees ik: Journalist schrijft een stukje over een start-up waarvan ze zeggen bij WT: 'goh, dat is nou niet helemaal waar en aardig, misschien moet journalist dat stukje even offline halen dan wel herformuleren'
Journalist kruipt (naar goed Amerikaans voorbeeld) achter een handvol advocaten van werkgever. Doet daarbij een 'Zij doen zomaar lelijk tegen mij'. [volgorde is van ondergeschikt belang] ^*
Start-up ziet zichzelf genoemd in combinatie met onaardige stemmingmakerij over WT

Lekker de boel verdraaid.

Even terug naar de orginele tweet:

WeTransfer stuurt vanuit het niets met dreigende taal een jurist op me af vanwege dit.

Hun eis: dat het hele artikel per direct offline wordt gehaald.

wtf?

Oftewel: WeTransfer stuurt adgvocaat advocaat op journalist af. Natuurlijk ga je je als journalist dan ook wapenen..

[Verwijderd]

Denk dat bij elke data die we online delen een risico zit. Echter je kunt deze zelf beperken door alleen bv in een rar file te zetten met een goed wachtwoord.

[Jazzy]

Interessant onderwerp waarbij verschillende aspecten een interessante discussie op zou kunnen leveren. Maar dat gaat niet als iemand er met gestrekt been in gaat en er op de man gespeeld wordt, jullie zouden beter moeten weten.

Ik doe het topic nu eerst op slot totdat de lokale mods tijd hebben om er naar te kijken.