IMPORTANT!
No només de nyaps viu el Facebook. La nostra flamant web de T-Mobilitat, també...
(acompanyeu-me en aquest viatge esgarrifós) 👇
No només de nyaps viu el Facebook. La nostra flamant web de T-Mobilitat, també...
(acompanyeu-me en aquest viatge esgarrifós) 👇
La web de T-Mobilitat està en proves. Avui m'he registrat per a obtenir la targeta i provar allò que altres ciutats del món fa 10 anys que tenen
t-mobilitat.atm.cat
t-mobilitat.atm.cat
A part de la deficient usabilitat de la UI, tot bé. M'he pogut registrar, activar el compte i demanar la targeta física. Molt bé. 
@vestorach ha intentat fer el mateix. Aquesta vegada, una vegada validat l'usuari, ella no podia accedir a la web privada. Sempre sortia la "home".
Ara resulta que jo tampoc puc tornar a entrar.
El developer dins meu no s'ha aturat. Ni esborrant les cookies. Res. Sempre tornava a la maleïda pàgina d'inici.
El developer dins meu no s'ha aturat. Ni esborrant les cookies. Res. Sempre tornava a la maleïda pàgina d'inici.
Em vaig fixar a la URL de la pantalla breu de login. Enlloc de tenir /web, tenia /c/portal. Hmm...Anem a /c/portal directament....
Hmm...una altra pantalla de login, suggerint el domini @liferay.com. A part de ser mala praxi revelant la tecnologia que hi ha a sota, em permetia provar els diferents usuaris possibles. No hi ha CAPTCHA ni res que pugui limitar els logins.
Anem a provar l'usuari més "cutre" en el món de software. De primer de pentesting.
Hi entra. I com a Administrador. 😮
Hi entra. I com a Administrador. 😮
Des d'aqui podria canviar tot el contingut de la web, afegir i esborrar usuaris (només uns 2000+), fer de tot.
La llista d'usuaris (reals, confirmat buscant-los per LinkedIn)
Davant d'aquest nyap de magnitud gegant, em pregunto qui és el responsable de desenvolupament d'aquesta web. La web de contractació pública no està clara al respecte. contractaciopublica.gencat.cat/ecofin_pscp/Ap…
Sembla que ATM va migrar els seus servidors a Liferay al 2019/2020 i potser la web és creació pròpia. En tot cas l'assesorament durant la migració el van pagar a un expert extern:
Companys de @StopPujades, teniu més informació sobre el responsable d'aquest nyap? El més recent és aquesta contractació de 2 milions d'euros per a donar "assistencia a l'equip de suport". contractaciopublica.gencat.cat/ecofin_pscp/Ap…
Us demano, @T_mobilitat, @ATMbcn, @TMBinfo.... arregleu això ara mateix!!! És una irresponsabilitat greu deixar l'accès a les dades de manera tan poc segura.
Actualització: han canviat la contrasenya de l'usuari que he utilitzat. Almenys han corregit el forat de seguretat. Analitzaran les causes? 🤔
Per a més informació sobre el nyap descomunal del tot el muntatge de T-Mobilitat, podeu consultar mobilitat.info/t-mobilitat/po…
Actualització 2: no només han canviat la contrasenya de l'usuari, sinó que també han amagat correctament la opció del login de seguretat. Això és el que haurien d'haver fet abans de sortir a producció. Qui va fer l'auditoria de seguretat? Aquest home?
Actualització 3: un nou nyap del sistema de login, no de seguretat però sí d'experiència d'usuari: el login case-sensitive.
https://twitter.com/ekapic/status/1445690764877467651
• • •
Missing some Tweet in this thread? You can try to
force a refresh
