×
Вкусно Бизнес ЮГ София Войната в Украйна Политика Общество Общини Спорт Разследване

Управител:
Веселин Василев, email: [email protected]

Главен редактор:
Катя Касабова, email: [email protected]

Коментарите под статиите се въвеждат от читателите и редакцията не носи отговорност за тях! Ако откриете обиден за вас коментар, моля сигнализирайте ни!

Категории
Вашият сигнал Връзка с Флагман Flagman в Telegram
НА ЖИВО
Най-нови Най-четени Най-коментирани

Как приложението за проверка дали сте „хакнат“ може да се окаже еднакво опасно със самия НАПлийкс


Как приложението за проверка дали сте „хакнат“ може да се окаже еднакво опасно със самия НАПлийкс
"Приложението" всъщност е уебсайт, как стотици хиляди му се доверяват след като Агенцията доказа, че не може да гарантира сигурността на личните данни е мистерия
26 Юли 2019, Петък, 11:18 ч.
Автор: Георги РУСЧЕВ

Българинът се довери на НАП и публикува личните си данни... във Фейсбук

Броени дни след най-голямата хакерска атака в България, извадила на яве личните данни на над 5 млн. граждани, изглежда българинът вече отново е готов да повярва в адекватността на инситутициите – и в часност IT отдела на НАП. Новото „приложение“, ако то изобщо може да се нарече така, с което всеки може да провери дали е изтекла неговата информация или не, вече бе ползвано от огромен брой хора след като бе пуснато вчера следобед. Хиляди побързаха да се похвалят във Фейсбук с резултатите си – дали ИМА или НЯМА изтекли данни.

Но как работи приложението и защо то може да се окаже също толкова уязвимо на атаки, колкото очевидно бяха и базите от данни на Агенцията?

На първо място то не е „приложение“ в смисъла, в който повечето хора разбират тази дума. На практика проверката се извършва през отделен сайт, създаден за няколко дни от, вероятно IT отделът на НАП (защото ако се окаже, че го е правила частна фирма, то е било без обществена поръчка, което би усложнило цялата ситуация неимоверно). Сайтът изисква от потребителите да въведат своето ЕГН и телефонен номер. Второто е необходимо, за да ви бъде издаден уникален четирицифрен код (спорно уникален при все, че броят на българи, чийто данни са изтекли, е 7-цифрено число), който се използва като двуфакторна идентификация. Този код отговаря на определени параметри (например ЕГН-то ви) в изтеклата база от данни, който сравнява за съвпадения и изпраща бинарен отговор – ИМА или НЯМА – под формата на СМС.

До тук всичко е добре на теория.

Въпреки, че „приложението“ използва сигурния https протокол, е спорно до каква степен самото то е сигурно. Все пак всяка информация, въведена в интернет, подлежи на атаки по един или друг начин. На хартия, въвеждането на телефонен номер и издаването на специален четирицифрен ключ, който да „отключва“ информацията от изтеклата база данни, е добра идея. На практика обаче се оказва не толкова добра.

Както стана ясно, хиляди потребители на Фейсбук, лекоми

Българинът се довери на НАП и публикува личните си данни... във Фейсбук

слено публикуваха скрийншотове на СМС-а, който са получили като обратен отговор от НАП, без да се замислят, че в него се съдържа въпросният ключ. А той – като всичко останало в интернет, може да бъде обратно трасиран по няколко начина до оригиналната информация – в случая ЕГН и телефонен номер.

Като прибавим факта, че Фейсбук изисква да използвате двете си имена и желателно ваша автентична снимка, се получава взривоопасна комбинация, която потенциално може да доведе до още изтичане на личните данни -дори на тези, които не са засегнати от хакерската атака.

Няколко реда за самата хакерска атака също са необходими – по всяка вероятност тя представлява „фишинг атака“. Казано просто – изпратен злонамерен файл, който при отваряне от някой, предоставя достъп до информация на даден компютър. Това може да се случи и вероятно се е случило през e-mail адрес от някой служител на НАП, който не е преценил опасностите. 

Но да се върнем на „приложението“. Имаше ли по-лесен и най-важното по-безопасен начин, то да се изпълни? По-скоро да. Така или иначе данните са изтекли. Вместо да се използва двуфакторна аутентикация на данните през личния ви телефон, можеше просто да се работи на базата на съвпадения. Изтеклата база от данни се публикува криптирана на сайт и всеки потребител въвежда ЕГН-то си – то служи като парола за достъп, чрез която може да види за себе си дали са изтекли само неговите или нейните данни. Разбира се това би довело до възможност отделен потребител да провери и личните данни на хора, на които знае единния граждански номер – но тези данни така или иначе са изтекли и могат свободно да бъдат намерени в архивен файл, който циркулира из интернет пространството и без друго.


И така от чисто любопитство и може би известна доза неразбиране, стотици хиляди българи се довериха във възможностите на една държавна институция, която буквално преди дни доказа, че не може адекватно да се справя със сигурността на личните данни. Довериха се и дори споделиха доверието си към нея във Фейсбук – огромна корпорация, която всъщност има интерес да знае всеки малък детайл за вас, за да ви таргетира с по-сортирани откъм вашите интереси и финансови възможности реклами.

А щом ние можем да се сетим как да стане това, то значи със сигурност има хакери, които са се сетили по-рано.
 


В категории: Животът


Флагман.БГ Тя изчерви хиляди Тя изчерви хиляди 05/04/2025, Събота 21:00 0
Флагман.БГ Каза тежки думи за "Ергенът" 4 Каза тежки думи за "Ергенът" 4 05/04/2025, Събота 20:21 1
Българи с фурор в САЩ
Българи с фурор в САЩ 05/04/2025, Събота 19:40 0
Твърдят, че е бясна
Твърдят, че е бясна 05/04/2025, Събота 19:24 1
В Кривой Рог скърбят
В Кривой Рог скърбят 05/04/2025, Събота 18:24 4
11
Коментара по темата
11.
Зип файл
14.08.2019 14:16:10
0
0
Много моля, ако някой има файла, да ми пише. Опитвам се да си върна едни откраднати от мен пари...
10.
,,,
10.08.2019 20:16:45
1
0
Който е писал статията е много прост...
9.
TheXfile
29.07.2019 21:57:25
0
4
Линкът с файла, от отдавна не е активен, някой ако сподели нов, ще сме радостни! Благодаря!
8.
uniklani sa
26.07.2019 16:09:04
0
0
Нарекоха го ПРИЛОЖЕНИЕ и вече го пуснахме в google play :). Благодарим и целувки.
7.
?
26.07.2019 15:16:35
1
1
И как разбрахте, че 4-те цифри са ключ или индентификатор? Просто 4 цифри, можеха да са 4 букви примерно - по заявка ABCD или WQAS има или няма данни.

А как като знаете 4-те цифри и името ми, ще откриете някаква информация? Виждате ми името и 5524 във Фейсбук как ще разберете информация за мен, както твърдите в статията?

ПП: И вземете вече да си оправите т.нар. "Защитен код" при пускането на коментар. Не е логично да пишеш коментар на кирилица и после да превключваш на латиница за да въведеш код за да го публикуваш! Можете да разкарате буквите и да оставите само цифри в този защитен код - така няма да се налага да се превключва кирилица-латиница.
6.
kiss
26.07.2019 15:09:09
0
9
Това правителство и всички управляващи трябва моментално да си подадат оставката и да заключат парламента.Да се изкарат данните на всички управници и да им се търси отговорност.Държавата и срината заедно с населението и.
5.
//
26.07.2019 13:48:22
0
4
Кирчо е дал супер линк, благодаря. Изтрийте спейсовете, без точка след zip и се получава, но се тегли бавно
4.
NA M im UTKATA
26.07.2019 12:48:35
1
3
дай друг линк Кирчооо
3.
*********
26.07.2019 12:23:10
0
0
Коментарът беше изтрит от модераторите, тъй като съдържаше обидни квалификации към Флагман.бг или членове на редакционния екип.
2.
Кирчо
26.07.2019 11:55:06
3
5
anonfile.com/ K73a8dzan7/ minfin-leak .zip.
Ест с ХТТПС://
Паролата е :bulgaria
1.
//
26.07.2019 11:37:04
0
7
Къде е достъпен този архивен файл с изтеклата информация?
 
Добавете коментар
Моля, въведете Вашето име
Моля, въведете Вашият коментар
Въведете защитния код:
Моля, въведете защитния код
 
България Всички новини
Внимание! Арктичният студ нахлува до часове, носи силен вятър, дъжд и сняг (КАРТА) Внимание! Арктичният студ нахлува до часове, носи силен вятър, дъжд и сняг (КАРТА) Обявен е жълт код за опасно време Каза тежки думи за "Ергенът" 4 Каза тежки думи за "Ергенът" 4 Виктор от първия сезон с коментар Неприятна ситуация в София Неприятна ситуация в София Пешеходен тунел тъне в боклуци Северозападна България трябва да става все по-предпочитана туристическа дестинация Северозападна България трябва да става все по-предпочитана туристическа дестинация Министър Мирослав Боршош откри сезона в Белоградчик и посети Чупрене по покана на областния управител Ани Арутюнян Рашидов: Сульо и Пульо може да са президент, а Борисов защо да не може?! Рашидов: Сульо и Пульо може да са президент, а Борисов защо да не може?! "Лидерът на ГЕРБ е с много контакти и стои добре навън", подчерта бившият министър на културата Непълнолетно дете откри голяма сума пари в столичното метро Непълнолетно дете откри голяма сума пари в столичното метро Сега полицията очаква собственика на намерената парична сума да ги потърси Проливен дъжд и градушка удариха Варна, дама от града се гневи, защото... Проливен дъжд и градушка удариха Варна, дама от града се гневи, защото... Контейнер за боклук се поставя в началото на отводнителен канал Априлски сняг заваля в... Априлски сняг заваля в... Пампорово Брутално! Млад мъж преби до смърт баща си Брутално! Млад мъж преби до смърт баща си Той е задържан "Продължаваме Промяната" призова за нов конкурс за главен архитект на София "Продължаваме Промяната" призова за нов конкурс за главен архитект на София Според партията са налице сериозни основания за прекратяване на настоящия конкурс
Тя изчерви хиляди Тя изчерви хиляди Канадката Микайла има много фенове В Кривой Рог скърбят В Кривой Рог скърбят Местните власти казаха, че са убити 19 души, от които 9 са деца Гръмна международен скандал с Жан-Клод Ван Дам: Изнасилвач ли е актьорът? Гръмна международен скандал с Жан-Клод Ван Дам: Изнасилвач ли е актьорът? Адвокатът на една от предполагаемите жертви внесе светлина Тръмп даде отсрочка на TikTok Тръмп даде отсрочка на TikTok Ето какво се случва По-тежки глоби при нарушения на пътя в... По-тежки глоби при нарушения на пътя в... Гърция Над 3300 са жертвите на опустошителното земетресение в Мианмар Над 3300 са жертвите на опустошителното земетресение в Мианмар Много хора са обявени за изчезнали Над 600 човека се натровиха с дюнери в Турция Над 600 човека се натровиха с дюнери в Турция В няколко от местните болници са постъпили голям брой пациенти със стомашни проблеми и повръщане Милионен град тъне в боклуци! Властите обявиха извънредно положение Милионен град тъне в боклуци! Властите обявиха извънредно положение Жител се оплака, че е ухапан от плъх, може да плъзне епидемия! Много българи са застрашени Стана дядо Стана дядо Голяма радост за американеца Руска ракета окървави Кривой рог, пет от 14-те жертви са деца Руска ракета окървави Кривой рог, пет от 14-те жертви са деца  Над 50 са ранените
Емануил Йорданов, бивш министър Емануил Йорданов, бивш министър В парламента ни никнат политически матрьошки от кръжока на Митрофанова Виц на деня Виц на деня Никога не питай жена на колко години е, мъж откъде са му парите и софиянец от къде е. Виц на деня Виц на деня - Тате, помогни ми да намеря общия знаменател.
- Няма смисъл, сине. Търсеха го още като аз бях ученик.
Статус във фейсбук Статус във фейсбук Ценете хората, които могат да обичат недостатъците ви.
Автори Флагмани
Маркетинг Екип
Анна Добрева-Бакалова
Специалист Маркетинг и реклама, Copywriter
Затвори