Владельцы сервисов Web 2.0 не заботятся о безопасности

комментарии (11)
версия для печати

В техноблоге Ивана Бегтина появилось исследование, где автор приходит к выводу, что у популярных российских Web 2.0 сервисов не все в порядке с безопасностью. Для того чтобы узнать об отношении сервиса к безопасности, он регистрировался в каждом из них, а затем инициировал процедуру восстановления пароля. В список «подопытных» сайтов попали: news2.ru, swiftpen.ru, toodoo.ru, fotodia.ru, j-net.ru, moikrug.ru, bobrdobr.ru и mos2.ru.

Безопасность каждого сервиса определялась по шести параметрам. В первую очередь определялось, используется ли SSL при регистрации и при восстановлении пароля. Как оказалось, ни на одном из рассмотренных сайтов это не реализовано. Чуть лучше обстоит дело с минимально допустимым числом символов в пароле – на большинстве сайтов их должно быть не менее 5-6. Но и тут попадаются досадные исключения. Например, на news2.ru можно ввести пароль из трех символов, а на j-net.ru и вовсе из одного.

Большинство сервисов пересылают пароль в открытом виде по электронной почте. Несмотря на то, что это общепринятая практика, Иван Бегтин считает это небезопасным. Помимо того, что пароль может быть перехвачен при отправке между серверами и от сервера пользователю, он может стать известен злоумышленнику при взломе почтового ящика, а также может храниться неограниченно долго на почтовых серверах, ответственных за пересылку писем.

News2.ru и swiftpen.ru показывают пароль в открытом виде на страницах. Стоит ли говорить о том, что это повышает риск того, что пароль может быть увиден теми, кто его видеть не должен и что пароль может остаться в кэше браузера? Одним из наиболее критичных недостатков веб-систем Иван Бегтин считает также хранение паролей в незашифрованном виде. Как оказалось, такое происходит на bobrdobr.ru и mos2.ru.

Справедливости ради стоит отметить, что некоторые обычные, не Web 2.0 сайты, тоже далеки от идеала в плане безопасности. Впрочем, это еще больше усиливает саму проблему, на которую неоднократно обращали внимание исследователи (эксперты лаборатории SophosLabs выяснили, что 75% пользователей используют простые, легко угадываемые пароли) и даже депутаты Госдумы (скандально известный в последнее время Виктор Алкснис возмутился тем, что ящик на Mail.ru якобы легко взломать).

Другие новости