Depois do célebre caso que permitia "recarregar" o cartão Andante de borla, temos novamente mais uma grande falha de segurança no serviço, que permitia que qualquer pessoa mal-intencionada pudesse recolher os dados privados - incluindo as passwords! - de todos os utilizadores da app Anda dos serviços de transportes públicos do Porto.
A falha, que já se encontra corrigida, foi descoberta por Gustavo Silva poucos dias depois do lançamento da app. Inicialmente, as coisas até pareciam bem encaminhadas, pois a app utiliza HTTPS para as comunicações, e até parecia impedir o acesso à API por apps não autorizadas. Infelizmente, eram protecções que podiam ser facilmente ultrapassadas, e assim que o eram... davam acesso total aos dados de todos os utilizadores: nome, morada, últimos dígitos do cartão de crédito, número de identificação fiscal, email... e até as passwords! Sim, as passwords mesmo, e não uma hash das mesmas!
Embora se possa louvar o facto dos responsáveis terem sido céleres a reagir a estas falhas (uma semana após terem sido informados, já tinham removido o acesso às passwords em plain-text), é verdadeiramente incrível (para não dizer inadmissível) que qualquer app ou serviço, nos dias de hoje, considere sequer a hipótese de guardar uma password desta forma. Se não fosse o trabalho do Gustavo, quantos milhares de utilizadores continuariam com a sua informação vulnerável, erradamente pensando que uma entidade desta dimensão teria tido o cuidado de proteger os seus dados.
Faz relembrar o velho teste que se deve fazer em qualquer novo serviço, seguindo-se o protocolo para fazer a recuperação de password. Se o serviço nos enviar a password que tínhamos inserido, é sinal de alerta imediato - mas infelizmente, mesmo que não o faça, nada nos garante que internamente não esteja a guardar a password em vez da sua hash+salt.
Já se inscreveram na Casa da Música? Não? É lindo recebermos e-mail com a nossa password em plain text... Xau!
ResponderEliminar