"Afgeschermde Hyves profielen toch zichtbaar"
Veel mensen hebben hun Hyves profielen niet goed ingesteld, waardoor afgeschermde accounts toch zichtbaar zijn. Dat beweert digitaal recherchebureau Com-connect. Het bedrijf controleerde in samenwerking met digitaalonderzoeker.nl honderd profielen en ontdekte dat zestig gebruikers de instellingen van hun foto's niet goed hadden ingesteld. Het probleem wordt veroorzaakt door de RSS feeds van Hyves. Daarmee is het mogelijk om toegang te verkrijgen tot de foto's, widgets en blogs van afgeschermde accounts. "Dit is niet de fout van Hyves, maar de fout van de gebruikers", aldus de onderzoekers.
Onveilig
Vaak zijn de standaard instellingen niet aangepast, maar soms stellen de mensen dit ook zelf in. Gebruikers zouden denken dat met het afschermen van het profiel, alle onderdelen ontoegankelijk worden, wat niet zo is. De onderzoekers spreken van een "schrikbarend resultaat".
"Deze mensen denken dat niemand bij hun foto’s, widgets e.d. kan. Het tegendeel is waar, via de RSS feeds zijn deze gegevens gewoon te bereiken." Krabbels zijn meestal niet via RSS zichtbaar, omdat Hyves deze instelling standaard voor de gebruikers wel goed instelt. De onderzoekers benadrukken dat de fout niet bij Hyves zelf ligt, maar bij de gebruikers die de rechten niet goed instellen. "Hyves zelf geeft de opties om dit te voorkomen, alleen maken de gebruikers hier te weinig gebruik van."
halve waarheid,
was die standaard reeds volledig afgeschermd dan zou al heel wat helpen
Gebruikers kunnen niet van alles op de hoogte zijn maar dit is iets waar een gebruiker eigenlijk vanuit mag gaan als hij zijn profiel op PRIVE zet dit ook voor het hele profiel geldt.
Hyves BV, werk aan de winkel zou ik zeggen!
Als "digitaal recherchebureau Com-connect" een beetje had gelezen op wat internetforums dan hadden ze deze scoop een jaartje eerder kunnen brengen.
Zie bijvoorbeeld dit topic waarbij de welbekende foto's van die moordenaar met dit trucje zijn gedownload: http://www.geenstijl.nl/mt/archieven/2010/03/milly_boele_gevonden.html
Als ik ingelogd ben en ik ga naar gebuikersnaam..hyves.nl/rss en ik klik op fotos/videos, dan zie ik content...
Ik krijg een pagina met "html" code met daarin urls naar fotos.
Dit zijn zo te zien wel de fotos die ik ook te zien krijg als ik gewoon naar de fotomap van gebruiker ga.
Als ik NIET ingelogd ben, krijg ik de melding dat het profiel niet zichtbaar is voor iedereen.
Als "digitaal recherchebureau Com-connect" een beetje had gelezen op wat internetforums dan hadden ze deze scoop een jaartje eerder kunnen brengen.
Zie bijvoorbeeld dit topic waarbij de welbekende foto's van die moordenaar met dit trucje zijn gedownload: http://www.geenstijl.nl/mt/archieven/2010/03/milly_boele_gevonden.html
Uitgebreid uitgelegd:
http://www.digitaalonderzoeker.nl/voorbeelden/hyves_rss.pdf .
libris
De fotos MOETEN zichtbaar zijn voor iedereen en het profiel MAG alleen toegankelijk zijn voor "vrienden"
Het probleem is dat weinig mensen deze instellingen aanpassen... daardoor zijn veel profielen zonder problemen te benaderen
libris
dit had ik al lang ontdekt.. zelfs foto's die in prive albums staan zijn direct te linken dus met een beetje inventief url scriptje kom je een boel zogenaamd beschermde content tegen en dit is zeker een fout van hyves aangezien die foto's niet via een script worden getoond maar plat op de server staan.
"Dit is niet de fout van Hyves, maar de fout van de gebruikers", aldus de onderzoekers.
Mag ik hier van maken dat het de fout van hyves is. Als het op zo'n grote schaal mis gaat dan is het niet duidelijk in elkaar gezet. even afgaande op deze kleine steekproef 60% begrijpt het dus niet maar beter is hyves is niet expliciet genoeg in wat wel en niet.
Als je thuis de deur dicht doet dan is het duidelijk dat je ook zelf je ramen moet sluiten dat is ook zichtbaar.
Als je de auto op slot zet dan is het tegenwoordig vanzelfsprekend dat alles dicht is en dat je niet zelf nog de kofferbak moet afsluiten. Bij hyves blijft de kofferbak open.
Dus hier kan je over discussieren wat je wil, maar je kan het probleem bij beiden leggen.
De mensen die zeggen dat hyves het beste standaard de instellingen goed hadden kunnen zeggen, geef ik gelijk... want dat is nou eenmaal een feit :)
Het domein hyves.feeds.nl is te koop
Dus? Na de proef verkocht?
Ik ben blij dat er iemand meedenkt/leest die voor Hyves werkt. Succes Peter met het dichten van het lek.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
