你见过的最糟糕的安全漏洞是什么?为了保护罪犯,限制细节可能是个好主意。
不管怎样,这里有一个关于如果你发现了安全漏洞该怎么办的问题,还有一个关于如果公司(似乎)没有回应该怎么办的问题。
你见过的最糟糕的安全漏洞是什么?为了保护罪犯,限制细节可能是个好主意。
不管怎样,这里有一个关于如果你发现了安全漏洞该怎么办的问题,还有一个关于如果公司(似乎)没有回应该怎么办的问题。
当前回答
不是技术上的安全漏洞,但仍然是一个安全漏洞:
我的银行卡最近被自动取款机吃了,我花了几个星期才把它拿回来。当它最终到达银行时,银行的一位女士打电话给我,问我是想自己取卡还是让他们邮寄给我。她还告诉我,如果他们要寄给我,他们会关闭它,直到我打电话给他们确认它安全抵达我家。
我收到了这张卡,并附上了一封简短的信,上面有确切的联系方式,其中包括一张便条,说我需要打电话重新启用这张卡。我只是打电话给他们,给了他们我的名字和账号,这两个都印在卡上,他们重新启用了卡。
基本上,如果有人抢了那封信,他们就会有信用卡和银行号码,以及所有需要的信息,让银行相信实际上是我打来的。所以那里的安全系统不太好。
其他回答
想到这一点,我所见过的最糟糕的安全漏洞是当管理电子门锁的人说“你是什么意思,锁不知道公共假日”?
是的,每个周一到周五都是公共假日,因为门系统已经安装好了,我看到前门在08:00-17:30没有锁。
有一家银行通过其网站提供一些服务。开发人员考虑了任何作为整个系统的有效用户登录的人,他们使用URL来识别账号,因此只需更改URL上的ID,就可以查看其他账户的余额。
对于认为身份验证和授权是一回事的web开发人员来说,这是非常糟糕的。
此外,银行不通过其网站转账也很好,否则有些人会很富有;-)
在这里根据记忆来解释,但它很接近……
<form action="secretpage.html" id="authentication"
onsubmit="return document.forms.authentication.password.value == 's3cr3t'">
Enter password: <input type="password" name="password"><br>
<input type="submit" name="Login" >
</form>
我认识的一个家伙用这个来保护他网站的“私人区域”。起初,他不愿意相信我,甚至他的浏览器都有这个不可靠的“查看源代码”功能。
这不是安全漏洞,而是那些把自己的产品标榜为高安全性的公司的安全耻辱(这是他们的主要特征之一)
这是关于“安全登录”的页面为合作伙伴。是这样的:
第一次你通过电子邮件获得明文密码,一旦你登录,你当然不会在第一屏幕上阅读废话,你只是跑去找你要找的东西(文档或软件),然后注销。
但这里有个技巧,下次你尝试登录时,你的密码不再有效,因为你应该有新密码,他们每次都会在你的个人资料下发布在网站上。所以在交换了几封电子邮件后,他们给我发了大约30个列举的一次密码列表,我每次只能使用一次。(我花了一周时间和几封邮件重新协商这个列表)
所以我打印了这个密码列表,贴在我桌子前的墙上,每次登录时我都用钢笔涂掉一个密码。我可不想有人从我桌前走过看到这份名单。
我有Joe X以前的家庭地址,需要知道他在同一城市的新地址,但没有办法联系到他。我估计他每天都会收到一堆邮购目录,所以我随意拨打了See’s Candies的800电话(与维多利亚的秘密、瑞士殖民地或任何其他大型邮寄公司不同):
我:“嗨,我是Joe x。我想我已经在你的邮件列表中出现过两次了,我的旧地址和新地址都有。你的电脑显示我的地址是[旧地址]还是[假地址]?”
接线员:“不,我们给你看[新地址]。”