Android

Společnost Web Mail zaplatila cenu poté, co generální ředitel společnosti Hacked

Week 0

Week 0
Anonim

Zabezpečená společnost pro zasílání e-mailů, která vyzvala hackery, aby se dostaly do webového systému společnosti, vyplácí cenu jen 10 000 USD, jen pár dní po zahájení soutěže. aby se dostala do webového poštovního účtu generálního ředitele společnosti StrongWebmail Darren Berkovitz, a to pomocí známého útoku typu "cross-site scripting" (XSS). "Udělali to pomocí XSS skriptu, který využil zranitelnost v backendovém webmailovém programu," tvrdí StrongWebmail ve svém prohlášení.

StrongWebmail spustil soutěž koncem května jako způsob podpory hlasové identifikační technologie prodávaná mateřskou společností Telesign. Hackeři dostali Berkovitkovu e-mailovou adresu a heslo a vyzvali je, aby se dostali do účtu. Společnost si myslela, že to bude obtížné, protože StrongWebmail vyžaduje speciální heslo, které je telefonicky předáváno uživateli předtím, než je přístup k e-mailu.

Secure Science Chief Scientist Lance James a jeho kolegové havíři Aviv Raff a Mike Bailey našli zadní dveře v běžné chybě webu a tvrdili, že vyhráli soutěž minulý čtvrtek. Prohlášení StrongWebmail potvrdilo, že skutečně narazili na e-mailový účet Berkovitza.

Při skriptování mezi webovými stránkami útočník využívá chybu na webovém serveru, aby spustil škodlivý webový skript v prohlížeči oběti, v podstatě převzal kontrolu prohlížeče.

Hackeři našli webovou chybu během jedné minuty, řekl James, a pak strávil asi šest hodin zdokonalením svého útoku. Není moc práce na vyplacení 10 000 dolarů.

StrongWebmail uvedl, že rychlé ukončení soutěže nebylo "odrazeno" a poté, co byla tato chyba opravena, zahájí novou soutěž. "Nebudeme odpočívat, dokud nebudeme vytvářet nejbezpečnější e-mail na světě," uvedla společnost.

Chyba, kterou používali hackeři, byla skutečně v poštovním programu Rackspace Web používaném pro napájení StrongWebmail, nikoli v Veřejný autentizační systém, který byl vytvořen pro propagaci společnosti StrongWebmail, uvedl Berkovitz v e-mailovém rozhovoru.

Částka a pravidla další soutěže ještě musí být stanovena, dodal. "Pokusíme se učinit další soutěž o tom, že porušíme část, kterou chrání společnost TeleSign," řekl. "E-mail, který jsme licencovali, je zřejmý z velkého a spolehlivého poskytovatele, ale je toho toho hodně co dělat, abychom zajistili, že nebudou mít na svém konci díry."

V e-mailu zaslaném Jamesovi a při pohledu na IDG News Service společnost ho doplnila o své hackerské dovednosti. "Vy a váš tým jsou docela působivé - jaké jsou vaše poradenské ceny?" stavy e-mailu