Flashback har horribel säkerhet - varför?

Hej,

Flashback forum är som ni säkert vet ett enormt forum med lång historik. Väldigt många aktiva besökare och medlemmar dagligen där en del kontroversiella ämnen diskuteras.

Jag tänkte lyfta fram till er idag hur absolut horribel säkerhet forumet har och bilda en frågeställning runt detta då jag dels vill höra era tankar om vad säkerhet innebär och betyder för er. Detta inlägg behöver därför inte specifikt handla om Flashback utan hemsidor i allmänhet. Jag tar mer eller mindre Flashback som ett perfekt exempel för att visa min poäng. Dessutom är Flashback en av extremt få hemsidor som än idag inte erbjuder någon modern säkerhet.


---

HTTPS
Enligt mig så är HTTPS väldigt viktigt, speciellt eftersom det är allt vanligare med mobiler och laptops. Detta medför att människor oftare använder publika WiFi's då enheter är mycket mer portabla idag. Om man då använder publika WiFi's så är HTTPS väldigt viktigt då det enbart är det som kommer skydda dig. Flashback har HTTPS men dess säkerhet är absolut under all kritik.

Om ni tar en titt på SSLlabs-resultatet så ser ni betyget "C". Detta är ett dåligt betyg men den största bristen ligger i saknaden utav HSTS. Utan HSTS så spelar HTTPS mer eller mindre ingen roll, det är med andra ord busenkelt att ta över någons konto om den surfar på Flashback. Man använder ett program som heter SSLstrip som kommer att tvinga klienten att besöka sidan över HTTP istället för HTTPS. Detta är möjligt eftersom det finns inget som faktiskt tvingar klienten till att använda HTTPS.

Utöver detta används fruktansvärt dåliga ciphers med b.la RC4 som är helt knäckt. Detta innebär inte en direkt fara om man surfar på publika WiFi's, men det är möjligt på större plan, t.ex att FRA speglar och dekrypterar trafik. Detta bör ni dessutom ta för givet att det är så.


Headers
Headers är vad servern skickar till klienten och headers berättar ofta om hur datan ska behandlas. Om servern t.ex säger att man inte ska få se bilder från http://example.com så kan klienten följa detta. Flashback har nästan total saknad av viktiga säkerhetsheaders, det kan ni se på resultatet här: https://securityheaders.io/?q=https%3A%2F%2Fwww.flashback.org%2F&hide=on


Cookies
Flashback har dålig säkerhet när det gäller cookies. Cookies är extremt viktigt att skydda då det är dem som läses av för att kunna bedöma om du är inloggad eller ej. Har cookies dålig säkerhet så är det möjligt för en hacker att mycket enklare sno dem och sedan använda dem och ta över ett konto. Jätteviktigt att notera här är att HTTPS och cookies går hand i hand; har man dåligt cookie-skydd så kan HTTPS skydda kakorna.

Det skydd som kakorna saknar kallas för "HttpOnly" och är ett standard skydd idag. Detta skydd medför så att kakor enbart kan läsas av via HTTP och inte via Javascript. Skulle XSS hittas på Flashback så är det så seriöst som det kan bli, det kommer vara så att om man bara klickar på en länk så är ditt konto hackat. Och ja, "HttpOnly" ger ett bra skydd mot detta. Extremt enkelt att implementera, ändå saknas det? Skumt.

"HTTPonly" kan även skydda ifall en webbläsare har installerat elaka skript som används för att sniffa upp kakor.



Mina personliga erfarenheter med Flashbacks säkerhet
För säkert 2 år sedan kollade jag in säkerheten på Flashback forum. Detta var efter Researchgruppen fick tag på Flashback-dumpen som jag valde att bedöma kodkvalitet på forumet. Det dröjde inte länge innan jag hittade väldigt allvarliga sårbarheter, och det var inte få av dem, det var många.

Jag hittade sätt att komma förbi "Du lämnar nu Flashback Forum"-rutan som man får när man klickar på länkar. Detta kom jag förbi mer än en gång. Jag hittade också ett sätt att få tillgång till stängda delar av forumet där enbart moderatorer och admins ska kunna läsa. Utöver dessa två sårbarheter så var det andra saker som också tyder på att kodkvaliten är väldigt dålig.

Jag skulle påstå att Flashback absolut har blivit hackat förr och att det än idag finns sårbarheter som inte åtgärdats av tekniker.

---

Varför struntar Flashback totalt i säkerheten?
Denna fråga har jag ställt till mig själv många gånger. Driver man ett så pass stort forum med faktiska medlemmar så är säkerhet väl viktigt? Eller anser Flashback att de redan har säkerhet så att det inte behövs mer? Säkerhet är extremt komplext och kan komma från alla håll och kanter.

Med striktare säkerhet blir det inte svårare att arbeta, det blir snarare enklare. Om du har som mål att implementera god säkerhet för dina besökare så har du ett mål att nå.


Diskussionsunderlag och frågor
Då när ni har lite bättre insyn om hur säkerheten delvis ser ut på Flashback så återstår era tankar om detta. Jag vill att ni ska tänka efter vad säkerhet betyder för er och vad en ansvarig för en hemsida bör tänka på. Bör ansvariga erbjuda god säkerhet för att skydda sina besökare och medlemmar?

Diskutera gärna med varandra eller ställ frågor på detta. Om ni vill se bättre säkerhet på forumet så lyft gärna fram detta till de ansvariga på Flashback. Kanske vi kan få ett svar på varför det ser ut som det gör, eller vi kanske t.om kan få se säkerhetsförbättringar.

Mycket bra tråd. Kommer följas noga.

Flashback har verkligen riktigt kass säkerhet.

Är det så att forumet hade bra säkerhet när det skapades men har under tidens gång inte uppdaterats med dagens säkerhetsstandarder? Jag har inte någon vidare koll på datasäkerhet men utgår man från det du säger så är det ju självklart inget vidare. Motivering till att inte uppdatera säkerheten måste ju helt enkelt vara ignorans om att någon faktiskt ska bry sig eller att det inte kommer bli vidare uppmärksammat om det väl kommer fram.

Det är väl för böfvelen bara å fixa till det! Stålar har ni ju.

Forumet startades med vbulletin men med tiden har den mesta(all?) koden bytts ut mot egenproducerad så det finns inga uppdateringar att hämta, ska säkerheten förbättras så måste tekniker gå in och ändra.

Intressant. Du verkar ha koll på dina saker.
Jag jobbar inte själv med websäkerhet, men jag tycker din TS gör det hela mycket förståligt.

När det gäller XSS så faller tanken direkt på anonserna. Jan antar att det är flashback själva som styr scripten kopplade till dessa och inte någon tredje part, för annars så räcker det ju med ett intrång hos den tredje parten för att cookies skall kunna hämtas och användas för att ja, få tag på email adresser till användare t.ex.

Flashback borde börja designa en helt ny "hemsida" som bygger på vedertagna protokoll.

Reklamintäkterna torde kunna täcka ett enkelt labb där man anställer TS under en intensiv men lärorik period.

Säkerhet i synnerhet inom IT är ju som bekant en färskvara. Menar ni att teknikerna ligger på latsidan och/eller saknar kompetens?

Hur gick testerna av säkerheten till undrar man som lekman? Kanske inte i detalj, men ungefärligt vilka kunskaper som hade krävts? Samt även ifall det fanns eventuella möjligheter att utföra någon skadlig manöver gentemot sidan i sig, eller om det bara var read-only?

Ok. Har du koll på om det var lata tekniker som inte tänkte på säkerheten som en hög prio eller om det är nya standarder idag?

Det är väl uppenbart för alla stammisar vid det här laget att utveckling och underhåll helt fallit i träda?

Nej du kommer inte få tag på några mejladresser. Inte ens om du har full åtkomst till kontot.

Detta då mejladresserna är hashade med en envägskryptering. Dvs när en lösenordsåterställning skall göras måste du istället fylla i E-postadressen (förut räckte det med användarnamn), och sedan kollas att hashen stämmer överens.

Mer info: (FB) Medlemmarnas e-post på Flashback försvinner! VIKTIGT!

Vad jag har läst är det så att Flashback gjorde en fork av vBoard för att "öka" säkerheten, så att inte alla mods kan se IP och liknande. Att det sen är helt idiotiskt att forka något istället för att använda det som redan finns, när det ändå finns seriös support bakom det hela, är idiotiskt. Ett exempel är Telegram som valde att köra sitt egna krypto istället för att köra på de som funnits i 20 år utan problem. Telegram har ändå dussintal tekniker som jobbar på sitt program 24/7, medan jag är helt övertygad om att Flashbacks tekniker knappt skriver 1 rad kod i veckan.

Som chloe skriver är ju vissa av dessa saker triviala att lägga till, vilket gör att det faktiskt är riktigt ironiskt att Flashback inte brytt sig. Arrogans kallas det, titta på Sony till exempel. De hade inte hashat ett skit, så när tiotals miljoner konton läckte ut var kontonummer och lösenord i klartext. Oops!
Den simpla förklaringen till varför de inte bryr sig är helt enkelt för att de inte bryr sig, vad är vinningen för dem rent ekonomiskt om de sätter sig ner och skaffar ett vettigare alternativ än RC4? Inte mycket. De flesta användare här har såklart inte en aning om varför det står ett s efter http högst upp i webbläsaren. Forward secrecy har Flashback tydligen aldrig heller tänkt på att skaffa, trots att det är standard för så gott som alla sidor som har https idag. Ja, det är idiotiskt. Men vem bryr sig? Det är ju bara nöööördar som bryr sig om sånt egentligeeeen!


Tills dess att Flashback bättrar säkerheten, som troligen aldrig kommer hända, finns det förslag på vad man kan göra:
1. Surfa på Flashback med Tor Browser Bundle. Klicka i "kom ihåg mig?" när du loggar in så är du inloggad tills du stänger webbläsaren. På så sätt blir det betydligt svårare att göra MITM för att sno ditt konto eller se din IP.
2. Skaffa en slaskmejl istället för att köra med namn.efternamn@hotmail.com. Om databasen hackas ser man då alltså "12i31mem@email.com" istället för "bertil.nilsson@gmail.com"