Kritikal na Flaw Sa Website ng USPS na Panganib na Data Ng Milyun-milyong Mga Gumagamit

Paglalarawan ng Encryption

Naayos ng United States Postal Service (USPS) ang sirang API nito na naglantad sa mga detalye ng account ng 60 milyong mga gumagamit na nag-sign up para sa serbisyong 'Informed Delivery'.

Ang kaalamang Paghahatid ay isang bagong serbisyo na ibinibigay ng USPS kung saan makikita ng mga tao ang mga na-scan na larawan ng lahat ng kanilang papasok na mga mail. Ang mga imahe ay ipinadala bago ang mail ay talagang naihatid ng kumpanya. Maaaring subaybayan ng mga tao ang kanilang mga mail at alamin muna kung ang anumang mahalagang mail ay dapat dumating ngayon o hindi.

Pinayagan ang kapintasan sa seguridad sa sinumang mayroong isang account sa U sps upang matingnan ang mga detalye ng iba pang mga nakarehistrong gumagamit ng serbisyo at kahit na baguhin ang mga detalye ng mga gumagamit na iyon.

Ang pagkakamali ay unang inilantad ng a mananaliksik noong nakaraang taon nang nagawa niyang kumuha ng data ng mga gumagamit sa pamamagitan ng pagpapadala ng mga kahilingan sa server. Sinubukan ng mananaliksik na makipag-ugnay sa USPS nang maraming beses upang masabi sa kanila ang tungkol sa kapintasan sa seguridad, ngunit walang kabuluhan ang lahat. Ipinakita ng mananaliksik na kapag nagpadala ka ng mga wildcard sa mga server, tinanggap nito ang karamihan sa kanila na pinapayagan ang iba na makita ang mga detalye ng mga may-ari ng account.

Espesyalista sa seguridad Brian Krebs sinabi na ang sinumang naka-log in na gumagamit ng USPS ay nagawang maghanap para sa mga detalye ng account ng iba pang mga gumagamit ng USPS. Ang mga detalye ng account tulad ng account number, username, email address, user ID, numero ng telepono, data ng kampanya sa pag-mail, address, at iba pang impormasyon ay madaling ma-access. Gayunpaman, ang mga pagbabago sa data ay hindi maaaring gawin sa ilan sa mga patlang dahil mayroong isang hakbang sa pagpapatunay na naka-link sa mga patlang na iyon upang baguhin ang data.

Ayon kay Krebs, mayroong isang malaking kapintasan sa seguridad mula sa USPS dahil walang tunay na kadalubhasaan sa pag-hack na kinakailangan upang makakuha ng pag-access sa data. Ang sinumang mayroong pangunahing kaalaman upang matingnan at mabago ang mga elemento na gumagamit ng isang browser ay maaaring ma-access ang mga detalye ng account. Sinabi ng USPS na hanggang ngayon ay wala silang natatanggap na ebidensya na nagmumungkahi na mayroong anumang pagsasamantala sa anumang mga detalye ng account ng mga gumagamit nito.