XSS-lek op PayPal site versterkt door EV SSL certificaat
Een cross-site scripting (XSS) lek op de website van PayPal geeft aanvallers de mogelijkheid om de logingegevens van gebruikers te stelen, ondanks het feit dat er een EV SSL certificaat aanwezig is. Volgens PayPal kunnen gebruikers een link vertrouwen als die met https begint. Het EV SSL certificaat heeft als toegevoegde waarde dat de adresbalk groen wordt, wat gebruikers het vertrouwen moet geven dat de URL en website, in dit geval, eigendom van PayPal zijn. "Je kunt eenvoudig de login van gebruikers stelen," aldus Harry Sintonen die de kwetsbaarheid ontdekte.
SSL en ook EV SSL certificaten zijn geen garantie dat een site niet met beveiligingslekken zoals XSS te maken heeft. Beveiligingsexperts zijn wel bezorgd dat aanvallers het belang van de groene adresbalk voor hun eigen doeleinden misbruiken en zo meeliften op het vertrouwen dat EV SSL certificaten moeten uitstralen. Onlangs liet PayPal nog weten dat het browser gaat blokkeren die geen EV SSL certificaten ondersteunen.
ik betaal veel via pleepaal
Onlangs betaalde ik via paypal en kort nadien werd mijn
account geblokkeerd omdat er iemand mijn gegevens probeerde
te bemachtigen.
Mijn aankoop (toegang tot Rapidshare) werd ook plots
afgesloten en Mastercard betaalde het bedrag terug.
Blijkbaar moet ik nu een hele hoop bewijzen sturen om de
account te deblokkeren.
Ik gebruik nochtans TNS (SSH verbinding) zodat men normaal
mijn gegevens niet kan aftappen.
Ook krijg ik nu de ene na de andere phishing mail van
"paypal".
Vreselijke ervaring... Ik koop al jaren met mijn creditcard
op het internet maar paypal was de eerste en de laatste keer.
scarry shit dus,.
ik betaal veel via pleepaal
paypal staat opgeslagen voor bezoekende gebruikers) moet je
als gebruiker vooral opletten dat je niet op verkeerde links
naar Paypal gebruikt.
Aan de 'page not found' meldingen te zien en het feit dat de
gebruiker nog moet inloggen is er hier geen sprake van
persistente xss. Maar dat maakt het nog geen prettige
blunder van Paypal.
in dit geval uitsluitend dat het lek echt door Paypal is veroorzaakt en niet door
een hacker. Dat is ook wel prettig te weten toch?
Deze blunder heeft niets te maken met EV certificaten. Dat
certificaat betekent in dit geval uitsluitend dat het lek
echt door Paypal is veroorzaakt en niet door een hacker. Dat
is ook wel prettig te weten toch?
is in deze niet van een juiste strekking.
Hoe kan een doorsnee computergebruiker dit onderscheid
maken? Die krijgt immers een groene 'dit is veilig'
adresbalk, terwijl dat geenzins het geval is. Het is alleen
maar verwarrend voor de doorsnee computergebruiker: met
'veilig' groen kan ook 'onveilig' rood bedoeld worden.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
