Problemen (niet griefs)

[NavahoGL]

Mijn oog viel vanochtend op dit bericht: http://nl.playstation.com/home/news/articles/detail/item98404/Kennisgeving-voor-PLAYSTATION%C2%AENet...

We hebben onderzocht in hoeverre er wachtwoorden door onbevoegden konden zijn gewijzigd voordat deze maatregelen waren getroffen en we nemen rechtstreeks contact op met de klanten die mogelijk door dit incident zijn getroffen. Om te controleren of je account intact is, raden we jou als PLAYSTATION®Network-gebruiker aan om je bij de service aan te melden. Als dat met je gewone wachtwoord lukt, is je account niet door dit incident getroffen.

Er is natuurlijk helemaal geen garantie dat het account niet is getroffen als het password niet is gewijzigd? Of zijn er duidelijk aanwijzingen dat er alleen een password-reset script is misbruikt oid? Een "breach" is vanuit de ogen van de indringers immers zoveel effectiever als deze niet opvalt, dus als dat niet zeker is had daar misschien beter het aanvullende advies kunnen staan "Verander direct je wachtwoord als je bent ingelogd." Maar toen ik vervolgens de melding onderaan het bericht zag begonnen bij mij een paar alarmbelletjes te rammelen:

Denk eraan: plaats nooit je aanmeldingsgegevens of wachtwoorden in een e-mailbericht.

Vooral omdat het bericht eerder meldt dat "we nemen rechtstreeks contact op met de klanten die mogelijk door dit incident zijn getroffen" -- had dit bericht niet daarna moeten komen met de melding "de klanten die mogelijk door dit incident zijn getroffen is reeds contact mee opgenomen"? Er is nu een situatie gecreerd waarin het aannemelijk is dat zogenaamde scammers hierop in gaan springen en uit naam van PSN een zootje emails uitsturen in de hoop dat mensen hun link gaan volgen naar een obscure URL waar de PSN store login is nagebouwd? Inderdaad, geen zorgen over de credit-card gegevens (hoewel "gegarandeerd niet" toch hoopvoller over zou komen dan "zeer onwaarchijnlijk"), maar wel NAW gegevens waar even "geshopped" kan worden voor een PS3... En niet te vergeten de extra PS3's en PSP's waarop content kan worden geactiveerd ten koste van de "echte" eigenaar... Nu zijn deze situaties helaas inherent aan het internet en is voor (en voornamelijk juist door) de gemiddelde gebruiker toch eerder een nadeel gebonden aan de integriteit van het PSN en via een webbrowser toegang toe te staan, dan een voordeel. Een veiligheidsgat in een emailclient, een browser of een browser-plugin gooit het mogelijk wijd open, er draaien helaas geen Hypervisors op de PCs van de mensen thuis.... Ik hoop in ieder geval dat er technisch niets aan de hand is en het "slechts" een paar gebruikers zijn die zonder nadenken een link in een email hebben gevolgd... Volgens mij zal het tegenvallen hoeveel van dit soort mensen een computer hebben. :-) OK dat waren gewoon ff wat gedachten hardop over dingen waar ik eerder nog niet bij stilgestaan had, die ik, zeker met het oog op de toekomstige koppeling, toch ff kwijt wilde...

[cd_BE]

Als ik dat lees, krijg ik een verwarde indruk. Maar dat kan aan mij liggen. Mij lijkt dat ze zo'n bericht eerder doorsturen naar je e-mail waarmee je je geregistreerd hebt dan het zo op de site te posten, dat is om problemen vragen, me dunkt.

[NavahoGL]

En daar gaan we dan.... de Buzz website die net is opgetuigd is zo lek als een mandje.. [ http://community.eu.playstation.com/playstationeu/board/message?board.id=bBETAbuzzEN&message.id=341&... ]

Natuurlijk is die nog in ontwikkeling, maar het laat maar weer zien dat het systeem zo sterk is als 'de zwakste schakel' -- de schakel hier zijnde een niet-dichtgetimmered website waar javascript geladen kan worden in de context van in ingelogde, geautheniceerde gebruiker.

Cross-site-scripting, anyone??

[FCBier_NL]

LOL, kamawattus?????

[TheMerovingian]

Uhu wat navaho zegt.

[Sslust]

Dit is niet echt een probleem hoor. Was maar bij een paar klanten gebeurt en het foutje was meteen dichtgegooit. Maar om legale redenen moet je dit dan zeggen he. We hebben er dus ook maar niet een groot bericht van gemaakt.