Пароль, который взламывался быстрее, чем варится кофе
Пароль, который взламывался быстрее, чем варится кофе На аудите оптовой компании я нашёл систему восстановления доступа, которая двенадцать лет считалась несокрушимой — а вскрывалась за минуту. Заказчик — оптовая компания с личным кабинетом для розничных партнёров: там заказы, закупочные цены, остатки на складе. Всё вроде по правилам: пароли хешируются, соединение по HTTPS, восстановление доступа — через одноразовую ссылку. Ссылку генерировал модуль на основе открытой библиотеки для шифрования — из тех, что стоят на десятках тысяч сайтов по всему миру. Считалось, что подобрать такой код почти невозможно: комбинаций больше, чем звёзд во Вселенной. На деле генератор «случайных» символов оказался предсказуемым — ошибка в его коде тянулась больше десяти лет, и никто её не замечал. Что это значило для бизнеса Зная логику ошибки, ссылку для сброса пароля любого клиента можно было подобрать на обычном ноутбуке за считаные минуты, а не перебирать миллиарды лет, как задумывалось разработчиками. То есть попасть в чужой личный кабинет и увидеть закупочные цены конкурента. Компания работала на B2B-рынке, где закупочные условия — коммерческая тайна. Утечка одной такой ссылки конкуренту могла стоить сорванного тендера на несколько миллионов рублей, а без логов доступа никто бы даже не понял, откуда утечка. Закрыли за один день: заменили генератор ссылок на проверенный отечественный модуль, сократили время жизни ссылки до 15 минут и настроили уведомление руководителю в мессенджер при подозрительных попытках входа. Всё это обошлось несопоставимо дешевле, чем один сорванный контракт. Библиотека была бесплатной и открытой — поэтому её никто и не подумал проверить перед внедрением. #шифрование #доступы #B2B #аудит Полный разбор с деталями кейса → Бесплатный аудит безопасности Сколько стоит взлом Канал в Telegram