Kijk! Zie je wel dat bedrijven wat over hebben voor mensen die bugs vinden en melden!

AH geeft ook een onhandige 'refer-policy' (https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Referrer-Policy mee: 'no-refferer-when-downgrade'. Ik gok even dat als ze daar 'strict-origin-when-cross-origin' van hadden gemaakt het probleem veel kleiner was geweest van deze programmeerfout.

Overigens is het laden van externe scripts op je loginpagina (google tag manager zie ik) natuurlijk ook niet echt een 'best practise'.

Mijn gezicht doet nog steeds pijn van de facepalm toen ik de 'beloning' voor het eerst las.

Ik kan echt genieten van dit sarcasme XD

Haha kijk dit zijn dan weer precies van die gedragingen waardoor responsible disclosure nooit gaat werken. Die kennis om vulnerabilities te vinden komt je zeker ook zomaar aanwaaien dus waarom daarvoor betalen? (Ok in dit geval was het natuurlijk ook niet bijster moeilijk)

Tja kansloos dus van AH om de plaintext wachtwoorden niet goed te beschermen.

Kan makkelijk zijn dat dat "bezoek aan het kantoor" weer een schat aan nieuwe informatie heeft opgeleverd, zoals
aan schermen geplakte wachtwoorden e.d. dus wieweet was het een goede beloning?

AHa, de ruimhartigheid van 's lands grootste grutter, een kopje koffie en een bezoekje aan het kantoor.
Stel dat de persoon die het lek meldde in Utrecht woont dan is hij/zij ong. 100 km onderweg (retour), tegen 1:15 op benzine en dus 10 euro kwijt voor dat bakkie.

OT: plaintext WW is in deze tijd te triest voor woorden maar ik ken onvoldoende details om te stellen dat dat het probleem was.

In de tekst op nu.nl staat het toch een nuance anders. Er staat alleen dat hij een kopje koffie op het kantoor gedronken heeft. Niet dat dit de (enige) beloning was. Hoewel dat zeker niet uit te sluiten is vind ik het steeds weer storend dat een verhaal aangedikt wordt bij het citeren.

Dit kan zoiets stoms zijn als een HTML-aanlogformulier waarin <form method="get"> stond in plaats van <form method="post">. Dat is genoeg om de ingevulde gegevens op de URL te laten verschijnen. Als dat een pagina oplevert die onderdelen van derde partijen laadt dan krijgen die van de browser de URL van de pagina die ernaar verwijst als referer-header, en dan is het kwaad geschied.

Als dit is wat er is misgegaan dan vergde het ontdekken van de fout niet meer dan dat het iemand opeens opviel dat het net ingetypte wachtwoord leesbaar in de adresbalk van de browser verscheen.

Gelukkig zijn er nog voldoende onderzoekers die het er om te doen is internet veiliger te maken en niet om een zo groot mogelijke beloning.

Had je liever een t-shirt gehad? Wij geven trouwens niets en toch krijgen we nog aardig wat meldingen. Al is het aantal meldingen over gebrek aan een SPF of CAA record (nu opgelost) of clickjacking (gelukkig?) wel fors meer dan de meldingen over zaken die echt een probleem opleveren, zoals SQLi en XSS.

Peter

Whaaa! Het is weer eens zo ver! Beginnersfout. Nooit wachtwoorden in plain text opslaan.

Ik mis het kraakje bij de koffie..

Maar dat is slechts een detail natuurlijk..

Wachtwoorden worden niet in plain text opgeslagen, maar met een SHA256 versleutering

Ach, het is gewoon humor. Misschien heb je daar geen antenne voor. Dat kan. En met nadruk: dat is geen gebrek. Niet iedereen heeft dezelfde humorperceptie, laat staan heeft perceptievermogen voor humor (dat zijn twee verschillende dingen)
Ik vond hem ook wel spitsvondig. Pittige humor die raakt aan snoeihard sarcasme is iets wat hier te vaak ontbreekt.

Kijk dat lijkt mij het meest waarschijnlijk en heeft dus niks te maken met openslag van wachtwoord of hashes, etc.

Die ene kop verse koffie, uiteraard met een plak koek met roomboter, kan wel eens de aanleiding tot een heel interessant gesprek zijn geweest. Daar zie ik Albert Heijn wel voor aan. Bekijk het eens van de zonnige kant.

Grote kans dat de verantwoordelijke HRM officer en ICT security manager bij Albert Heijn de eerlijke vinder, of anders wel diens handige zoontje of pientere nichtje, een ICT functie of een AH-traineeship daartoe heeft aangeboden.

Klantenbinding, heet dat. De gelegenheid grijpen. Daar weet Neerlands grootgrutter alles van. Want probeer tegenwoordig nog maar eens daadwerkelijk goed gekwalificeerd, ervaren en betrouwbaar ICT security personeel te vinden :-)

Ja kom nou, service providers, die leveren geen service aan de infantiele consument!
Goud, we zullen het maar kwalificeren als datalek. Opzet is zeer moeilijk te bewijzen maar wel aaneemelijk te maken bij dit soort fouten anno 2018.

GDPR-AVG is al lang in werking dus geef ze een maximale boete op grond van de omzet.
De AH vehoogt de prijsjes wel, dan kan de klant twee keer betalen: een keer voor de boete en een keer met zijn privacy

Klinkt inderdaad als het meest waarschijnlijk. Ook een grove fout trouwens. Wachtwoordinformatie in POST via een SSL verbinding wordt versleuteld. Maar dat geldt natuurlijk niet voor de URL (waarin wachtwoordinformatie terecht komt bij een GET). Dus ook hier geldt eigenlijk: hoe verzinnen ze het, om dat zo te doen!

Eenvoudig: open source gebruiken .. het werkt toch.... Anderen hebben er over nagedacht dus investeer er geen tijd in om te kijken of het echt goed zit. UItrollen, time to market deadline halen.

Als jij zo'n harde beschuldiging uit, moet je dat ook toelichten. Zeker als je beweerd dat aannemelijk te maken is. Normale mensen zien er nml geen logica in waarom AH wachtwoorden via leesbare tekst in een url balk aan partners doorspeelt.

Dat weet ik want zulke zaken rapporteer ik ook wel eens. Je loopt dan wel het risico dat de wachtwoorden ook in tussenliggende proxies of wifi ap's voor enige tijd gelogd worden dus extra reden om je bestaande ww bij AH te wijzigen en niet te hergebruiken bij andere diensten.

Maar dat neemt niet weg dat wanneer je deze kennis opdoet en steeds complexere vulnerabilities weet te vinden hier veel tijd in gaat zitten welke imho degelijk beloond horen te worden. Een veilig internet is nobel maar daar koop je geen brood van.

Dit heeft geen donder te maken met de vraag of er open of closed source is gebruikt, dit is gewoon een van de mogelijkheden die HTML en HTTP ondersteunen en elk framework dat genoeg mogelijkheden biedt om voor enigzins geavanceerd gebruik geschikt te zijn ondersteunt dat ook, ongeacht of het open of closed source is.

Je gebruikt dergelijke frameworks trouwens inderdaad om niet al het denkwerk zelf te hoeven doen. Net zoals je een hogere programmeertaal gebruikt om geen assembler te hoeven schrijven, zoals je libraries gebruikt om wielen niet opnieuw uit te hoeven vinden, zoals je besturingsystemen gebruikt om niet zelf uit te hoeven vogelen hoe al dat resource, process en user management moet worden geïmplementeerd.

Als jij de IT-achtergrond hebt waar je regelmatig prat op gaat dan weet je dat verdomd goed. Dit soort frames zijn geen argumenten, karma4, het zijn leugens. Iemand in een organisatie die zich opstelt zoals jij doet met dit soort opmerkingen is een spaak in het wiel die dingen mis doet lopen. Met een professionele staat van dienst zou je beter moeten weten dan je te verlagen tot dit soort gemanipuleer.

(Ik ben degene die gisteren 14:55 suggereerde dat het method="get" in plaats van "post" kan zijn geweest.)

Ik heb geen brief van Albert Heijn ontvangen maar wel 2x een afpersingsemail waarin mijn wachtwoord voor mijn AH account genoemd werd. Als ik niet heel gauw geld overmaakte dan zouden mij facebook vrienden onsmakelijke filmpjes van mij te zien krijgen. Wachtwoord gewijzigd en de eerste afpersingsmail verwijderd. Na een paar weken weer zon mail o tvangen met mijn oude ondertussen gewijzigde wachtwoord er in vermeld. Dus AH heeft niet iedereen benaderd en niet van iedereen WW gereset.

@ anoniem van 10:58

Ik doe dat al twaalf jaar en bezit dus heel wat relevante kennis op het vlak van website security, maar hoe kan je met veiligheidsverbeteringen opboksen tegen een wereld, die dat juist niet wil vanwege bepaalde gevestigde interessen.

Facebook wil TLS session resumption tracking niet terugbrengen van een week nu naar maximaal 10 uur max., hetgeen security experts voorstellen. Ze blijven een van origine veiligheidsprotocol dus misbruiken voor 3rd party adtracking en geen hond die er wat aan meent te moeten doen, Dat is allemaal nog erger!

Soms neemt Big Tech de boetes gewoon op de koop toe omdat voor hen het winstbelang groter is dan het handhavinsgsbelang. Men weet dat men too big too fail is, de handen boven het hoofd gehouden wordt door machtige veiligheidsdienstenen en dus makkelijk overal lak aan kunnen hebben. En men komt er vaak via lobby en met hulp van de collaborerende politiek nog mee weg ook.

Even een reputatie managment cursusje doen en klaar is de CEO-manager. Het succes en het profijt is voor hem en als het misgaat, wordt de klant en de maatschappij hiermee opgezadeld. Dat is de gang van zaken, waar je weinig risico loopt, maar dan moet je wel (bijna) monopolist zijn. Ga als idealist en purist er maar aan staan.
We zitten er meestal bij op een krukje, TINF IT dan ;)

Grote verschillen tussen de leer en de praktijk dus, Probeer het maar eens te veranderen. Ja, script evaluatie en error-hunting kost tijd en misschien geld, maar gelovers in dozen- en one-click-oplossingen krijg je moeilijk overtuigd, zeker als ze er zelf geen jota verstand van hoeven te hebben, maar wel de eindbeslissingen nemen. Vaak op een zeer arrogante en grove manier ook nog, vaak als olifanten door de porseleinkast denderend.

Er zou eens een andere verbeterprikkel moeten worden ingebouwd - direct sinkholing misschien? Ik heb dat mee helpen trachten te automatiseren en online geleerd van een van de beste experts op dat gebied uit Midden-Europa. Deze jongeman is zelf als ex-hacker uit zijn land van herkomst moeten opstappen en met een zakenpartner een beveiligingsbedrijf begonnen in Praag, nu onderdeel van een ander gerenommeerd bedrijf. Sinkholen is een kunst apart, maar wel effectief. Alleen hoe sinkhole je in Mainland China en niet alle domeinen overal komen ervoor technisch in aanmerking? Europol doe er eens wat mee.

Blijven we dus qua security op 1 punt staan of gaan we als de flagellanten vooruit? Namelijk 2 stappen voorwaarts en dan weer 1 terug. Het gebeuren bij AH helpt hier dus ook niet echt, en dat moet ieder zich zeer aantrekken!

luntrus

Dus als jij *ongevraagd* heel veel moeite doet om een vulnerability te vinden dan moet iemand jou betalen? En als je nou niets vind? Kun je dan ook gewoon je factuur sturen voor de tijd die jij besteed hebt? Dat zou een mooie wereld worden...

Ik snap heel goed dat AH geen bakken met geld geeft aan de melder; anders staan er morgen honderndveertig "experts" op de stoep die allemaal iets hebben "gevonden". Ik vermoed ook zomaar dat AH inmiddels een bedrijf heeft ingehuurd om de boel door te lichten en die zullen vast wel redelijk worden gecompenseerd voor het werk dat ze worden gevraagd te doen.

Ik doe dat juist wel. Kan ik tenminste zien wat m'n wachtwoord is als ik het vergeten ben.

Inderdaad! En het is vooral ook handig dat ik jouw wachtwoord kan zien als ik het vergeten ben!

De nieuwe bonuskaart (opnieuw "verplicht" na 3 jaren zonder....) is gebonden aan de persoon door algoritmen en speciale acties daaraan gekoppeld.... ;-)

Dat kan je niet want alleen ik zelf kan bij mijn back-ups.