Twitter og GitHub lagrede ellers hashede kodeord i klartekst. Gør du?
I denne uge kom det frem, at både Twitter og GitHub har gemt brugeres kodeord i klartekst.
Begge organisationer har godt nok på forsvarlig vis brugt bcrypt-algoritmen til at hashe kodeord med, så disse ikke har ligget i klar tekst.
Men både GitHub og senest Twitter har meddelt, at brugeres kodeord som følge af ikke nærmere definerede bugs alligevel er blevet opbevaret i klartekst i logfiler.
I en mail sendt til brugere af GitHub, fremgår det, at buggen skulle være relativt ny, mens CTO hos Twitter Parag Agrawai i et blog-indlæg ikke umiddelbart kommer nærmere ind på, hvor længe fejlen har eksisteret.
Meldingerne fra Twitter og GitHub kommer stort set samtidigt, og fejlen lader overordnet til at være den samme: kodeord i klartekst i logfiler
It-udvikler og Version2-blogger Poul-Henning Kamp, mener dog, der på det tekniske niveau er tale om forskellige bugs.
»Samme overordnede fejl, men utvivlsomt forskellige implementeringer i praksis,« skriver han i en mail.
GDPR
Twitter har stort set samtidig med beskeden om kodeords-bommerten udsendt en besked om opdaterede brugervilkår, der træder i kraft 25. maj. Altså samme dato som den europæiske persondataforordning GDPR træder i kraft.
En stribe virksomheder har i den senere tid haft travlt med informere brugere om opdaterede vilkår i lyset af GDPR.
På sub-redit’en /r/programming/ mener en bruger, at Twitter har opdaget problemet med kodeord i klartekst i forbindelse med en system revision i anledning af netop den europæiske persondatafordrning.
Poul-Henning Kamp kalder det »en nærliggende teori« at opdagelsen af kodeordene i klartekst hænger sammen med GDPR.
Mange har nok samme problem
Han er derudover helt sikker på, at der er masser af andre organisationer, der har kodeord i klartekst liggende uden at ane det.
»Der er i praksis ingen store organisationer, der har styr på, hvad der faktisk foregår på de nederste tekniske/systemadministrationslag af systemerne,« skriver han og tilføjer:
»I moradset af storage, routere, servere, VM, outsourcing og cloud er der aldrig nogen der har et klart overblik over hvem der i praksis kan gøre XYZ.«
Der kan være mange årsager til, at ellers forsvarligt hashede kodeord ender op i klartekst i en log, påpeger Poul-Henning Kamp. Blandt mulighederne nævner han:
Folk der kalder subrutiner, som skriver logfiler, de ikke har hørt om
Folk der kalder kode, som efter en opdatering, giver sig til at skrive logfiler, der ikke tidligere eksisterede
Folk der glemmer at slette debug-kode inden produktion
Folk der regner med at logfilerne er 'sikre'
Folk med hemmelige bijob, der går ud på at lave den slags fejl, startende med ‘selvstændige iværksættere’ som Se&Hør kilden hos IBM og sluttende med professionelle ‘plants’ fra FE, PET, CIA, NSA, Mossad etc.
...men det er dyrt at lave god journalistik. Derfor beder vi dig overveje at tegne abonnement på Version2.
Digitaliseringen buldrer derudaf, og it-folkene tegner fremtidens Danmark. Derfor er det vigtigere end nogensinde med et kvalificeret bud på, hvordan it bedst kan være med til at udvikle det danske samfund og erhvervsliv.
Og der har aldrig været mere akut brug for en kritisk vagthund, der råber op, når der tages forkerte it-beslutninger.
Den rolle har Version2 indtaget siden 2006 - og det bliver vi ved med.
