Возможные утечки персональных данных или как Дом.ru даёт полный доступ к личному кабинету по ссылке из http
Впервые уязвимость была обнаружена еще 26.06.2020, о чем автор тут же сообщил техподдержке Дом.ru. Автор долго и упорно пытался решить проблему непублично, но встретил полное её непонимание техническими специалистами. Провайдер уверяет, что случай автора единичный, но сегодня пришло подтверждение наличия проблемы и у других источников. Автор не публикует ничьих личных данных и не призывает к противоправным действиям. Написание этой статьи — вынужденная мера.
Хотя, если уж провайдер прямо говорит что всё нормально, то никаких рисков общедоступное описание работы его сервисов вообще не должно нести.
В чем суть?
Утекли ли мои данные?
Точно вам сейчас не скажет и сам провайдер. Если вы хоть раз в недавнем времени видели подобную страницу, открытую по протоколу http, то вы подвержены утечке.
Как обезопасить себя?
Подробности. Что могло утечь?
Впервые уязвимость была найдена 26.06.2020. У меня нет никаких данных о том, как долго до 26.06.2020 этот уязвимость была активна. 02.07.2020 мне поступил скриншот от другого абонента, на котором страница была открыта по протоколу https, но 05.07.2020 мне поступил еще один скриншот с рекламной страницей открытой по http, что говорит о том, что ваши данные всё еще могут утечь, даже если вы до этого ни разу не видели рекламной страницы. Я долго и безуспешно пытался обратить внимание технических специалистов провайдера на проблему. На скриншоте в конце статьи последнее сообщение от провайдера мне, пришедшее 04.07.2020.
А теперь о самой ссылке-бэкдоре. Внизу рекламной страницы есть стандартная ссылка на отписку от рекламных уведомлений. Вот как она выглядит:
city_id — двузначное число, token — цифробуквенная последовательность из 31го символа.
При переходе по ссылке открывается полный доступ к личному кабинету, его административным функциям, такой как, смена тарифа, и личным данным пользователя:
Из хорошего — никакого сервиса вроде домру-кошелек, или другого способа снять деньги с баланса провайдер не предоставляет. Вы попадете на деньги, только если злоумышленник наподключает услуг.
Тем не менее, то, что у злоумышленников может появиться еще один набор данных о вас, порой достаточно редких данных, ничего хорошего не сулит.
Также мне не известно как много ссылок-бэкдоров уже могло утечь, а значит и сколько из них может до сих пор использоваться.
О субъективном
Моё личное мнение — такой ссылки здесь в принципе быть не должно. Даже переданной по https. В данной ситуации ссылка должна вести либо на незалогиненный кабинет, либо на маленькую форму отписки от рассылки, но ни в коем случае не на полную версию личного кабинета. Даже если безопасность передачи такой ссылки гарантирована, пользователи вашего домашнего интернета не всегда разумны. Ребенок, увидевший такую рекламу, может устроить родителям сюрприз в виде подключения нового скоростного тарифа. Тариф ведь скоростной, в рекламе ведь так и показали.
Не собираюсь спекулировать, но, даже при безопасной передаче ссылки, в худшем варианте она может быть доступна очень многим сотрудникам провайдера. У меня нет уверенности, что она не логируется в access-логах серверов приложений, так же как не должны и логироваться пароли. У меня нет уверенности, что токен, как удобная замена ID пользователя, не иcпользуется в тех. поддержке. Соблазн использвать такую ссылку «на стороне» может быть очень велик, если она лежит и доступна где попало, а её использование никак не отслеживается. Провайдер такую активность, если когда-нибудь и отследит, то найти виновного будет очень проблематично. Да и в конце концов, создавать лишние соблазны и риски там, где этого можно избежать, явно не стоит.
По поводу, сделано ли так целенаправленно, а не по ошибке, также спекулировать не собираюсь.
Провайдер называет такую ссылку сквозной авторизацией, но я считаю, что это не так. А вы как думаете?
Вишенкой на торте хотел бы выложить самый последний ответ от провайдера.
А 05.07.2020 мне даже посчастливилось выловить следующий пакет на интерфейсе роутера.
06.07.2020 я получил отчет из еще одного источника об открытии рекламной страницы через http.
UPD 14.07.2020. Старые токены не работают, но реклама, а следовательно и ссылка открывающая полный доступ к личному кабинету, до сих пор передаются по http.
Вместо заключения
Я до сих пор не испытываю неприязни к провайдеру, хотя, думаю, многие на моём месте испытывали бы острую злость. Я понимаю, что человеческий фактор порой может быть очень силён. Цели сделать кому-то плохо я никогда не преследовал — это не про меня. Моя цель — наконец достучаться до провайдера и предупредить вас. А вы предупредите своих друзей и близких.
Как и у многих компаний, у Дом.ru отсутствует программа bug bounty. Призываю всех читателей никогда не идти на поводу сиюминутной «чёрной» наживы. В первую очередь вы действуете против таких же как вы людей, а не «системы».
ДОМ.RU: как провайдеры разводят на деньги
Когда только в нашем городе появился провайдер ДОМ.RU, это было как глоток свежего воздуха после Ростелекома (в то время ещё Волга-телеком), который за расторжением договоров отправляли своих абонентов к психологу. Хоть это и звучит дико, так было на самом деле, о чём я, уже довольно давно, писал в блоге. Конечно, потом, в головном офисе Ростелекома извинялись и говорили что это только на благо клиентов, вдруг они не осознают своего счастья. И вот, решил написать пост о работе уже другого, ставшего теперь крупным, провайдера ДОМ.RU, с которым думал жить долго и счастливо, но видимо опять не судьба.
Надо признать, что качеством услуг этот провайдер меня полностью устраивал, тут никаких претензий нет, связь есть и всегда стабильная. Было, конечно, несколько моментов с недоступностью услуг, но они всегда оперативно решались.
Пройдя несколько линий обороны техподдержки, мне несколько раз удавалось умерить аппетиты, пообщавшись со старшими менеджерами компании, которые возвращали прежний уровень оплаты (как и было указано в договоре). Делалось это всегда в индивидуальном порядке и в виде персональной скидки. Но какого хрена я вообще должен по несколько раз в год выбивать эту скидку?
В общем, увидев сегодня очередное повышение цены на услуги ДОМ.RU в личном кабинете, решил далее не продолжать с ними отношения и расторгнуть договор. Благо, сейчас полно других провайдеров, с более адекватной ценовой политикой.
Пока остановился на Beeline, а там может и вовсе откажусь от проводного домашнего интернета и полностью перейду на мобильный интернет Tele2. На мой взгляд, время проводного домашнего интернета безвозвратно уходит и скорый переход с сетей 4G на 5G окончательно вобьёт гвоздь в крышку гроба проводной связи.
Как провайдеры разводят на деньги: почему нет разницы между 10 и 100 мбит/с
Редкий месяц обходился без звонков на мобильник от очередного менеджера с предложением бесплатно попробовать более высокую скорость Интернет по акции или какие-то дополнительные каналы TV (я и обычные то не смотрю). Скромно умалчивалось что со следующего месяца данная услуга уже станет платной.
Я конечно всегда отказывался от любых бесплатных, впрочем как и платных, увеличений скорости Интернет. Для тех, кто не очень разбирается открою маленький секрет:
То, что вы теоретически можете принять данные на скорости в 100 мбит/с, не означает что сайты или иные сетевые ресурсы вам их отдадут на такой скорости. В большинстве случаев этот показатель составит от 1 до 5 мбит/с. В действительности, закачаете вы фильм с торрента за одну или за три минуты большой погоды не сделает, а разница в стоимости услуг провайдера будет ой как заметна.
Когда я отключал услугу ip-телефонии (какой смысл платить за домашний телефон, если всё равно пользуешься мобильным) был свидетелем, как человека, который пришёл расторгнуть договор в виду нестабильной работы и постоянных подвисаний IPTV, убеждали переходить на более дорогой тарифный план, мотивируя это тем что ему просто не хватает скорости (по договору у него было 40 мбит/с).
Вместо того чтобы искать причину на своей стороне или оправить специалиста разобраться в оконечном оборудовании пользователя, его просто разводили на дополнительные расходы. Для картинки FullHD в формате 1080p достаточно канала 15 мбит/с, то есть у него был как минимум двухкратный запас по скорости.
Если считаете статью полезной,
не ленитесь ставить лайки и делиться с друзьями.
Комментариев: 32
Полностью согласна, сама побывала в такой ситуации. Изначально мой подключенный тариф предполагал абонентскую плату 300 руб/месяц. Через 4 месяца немного повысился до 330 рублей. Думаю, ладно, но ещё через месяц мне позвонил оператор и предложил по акции по моей абонентской плате попробовать бесплатно бонус с увеличенной скоростью. Если мне понравится, то со следующего месяца я буду платить уже 450, если нет, то все останется как было.
Вот моя история. Оплатил интернет по акции «Оптом дешевле» на полгода вперед, думал и экономия и не нужно будет следить за балансом целых полгода ( хорошо хоть вовремя проверил).
Видимо домру не очень ценит своих клиентам. Как тут написал автор, тоже постоянно поступают звонки. Позвонила девушка-менеджер из домру и предложила как постоянному клиенту увеличить скорость до 100 Мб/с. Я ответил что меня и так всё устраивает, но она подчеркнула что это бесплатно как постоянному клиенту только попробовать и через месяц, если не понравится отключить, всё равно бесплатно.
Предполагаю, что расчёт был на то что на балансе лежит сумма за несколько месяцев и я не замечу когда она потратится, а там забуду срок или не стану выяснять. В общем, через месяц зайдя в личный кабинет я увидел что данный пакет мне подключен платно. Позвонил им, помню долго ещё переключали с одного менеджера на другого, но в итоге услугу отключили, но за один месяц так и не вернули за неё деньги 90 рублей. Осадочек очень неприятный остался. Тоже думаю уходить к другому провайдеру.
Слишком навязчивый сервис и маленькая линейка тарифов, почём сейчас предлагается выбирать из дорогих или очень дорогих
Домру уже давно переплюнули Ростелеком. Там просто безалаберность, а здесь намеренный обман пошёл, особенно со всякими акциями и спецпредложениями. Постоянно предлагают подключить какие-то дополнительные пакеты каналов или увеличить скорость. Лучше бы то что в тарифе исполняли, как заявлено, зато регулярно цены поднимают без предупреждения
Вячеслав, если вы целыми днями гоняете такие файлы по сети, то думаю это скорее исключение. Не могу представить чтобы обычному пользователю понадобилось непрерывно передавать файлы весом в 50-100гб. Также сильно сомневаюсь что обычные сервера в Интернет вам это позволят делать на скорости в 100 мегабит. Такие объёмы предполагают явно коммерческое использование и стоят совсем других денег.
Об изменении Абонентской платы мы информируем на сайте, канале Дом.ru, через Интернет и Смс оповещение.
Надеюсь, что Ваше решение неокончательно и Вы предоставите нам обратную связь в социальных сетях (vk.me/domru_ru), прикрепив ссылку/скриншот на отзыв. Подробно проконсультируем по действующему тарифу и постараемся подобрать оптимальный для Вас вариант.
Domru_help, приятно что у вас есть обратная связь, но пока решил сравнить качество интернета у Beeline. Модернизация сетей и обновления оборудования это конечно хорошо, если бы при заключении договора меня не заверяли что изменения цены не будет, специально предварительно уточнял насчёт того обычный это тариф или акция, которая длится только определённый период времени.
А так, по качеству и стабильности работы претензий нет, но пока потестирую других провайдеров.
Раньше пользовался интернетом от «Билайн», сейчас опять к ним вернулся. Тут у нас в доме появился домру, звонит девушка, сперва не представилась но потом оказалось что менеджер с дом.ру (откуда у них мой номер вообще загадка).
У домру не так. Очень удивился когда через месяц пришёл от них счёт за услуги, которыми я уже не пользовался и не обещанные 400 рублей, а заметно больше. Потом ещё долго одолевали письмами и угрожали судом, пока не сходил расторгнуть договор к ним в офис. Пришлось заплатить дополнительно за то чем не пользовался. Не советую связываться с этой шаражкой.
Ради интереса связался с представителем Домру вконтакте по указанному адресу с другим договором (их у меня 2 было). В итоге предложили «поучаствовать в программе лояльности, которая позволяет копить баллы при совершении покупок в магазинах наших партнеров и оплачивать ими наши услуги«.
Скидку продлять отказались (на минуточку было всего-то 70 рублей, да и ту с апреля сами же уменьшили на 45 без объяснений).
И что тогда называется программой лояльности? С 2011 года у вас был клиентом. придётся видимо и второй договор расторгнуть.
У меня интернет еще по ADSL и провайдер пишет тарифи до 60 Мб, говорю им, этот стандарт столько не поддерживает, как можно так разводить людей?
сотка хороша только когда качаешь, а на всё остальное 5-10 хватит с головой.
МТС тоже может себе позволить в одностороннем порядке без предупреждения повысить абонентскую плату. Мои родители пенсионеры столкнулись с подобной ситуацией, хотя изначально подключились к ним именно из-за более низкого ценника, в результате платят теперь больше, чем раньше Интерсвязи.
У меня эти суки из дом.ру уже второй раз за год цену поднимают.
Проводной интернет будет еще лет 10 точно, потому что коллизии от перегрузки частот никто не отменял, а чем дальше, тем больше абонентов будет висеть на частоте. Сейчас к тому же беспроводной интернет оставляет желать лучшего. К примеру игры, выдают пинг 50, но крайне нестабильный, то есть постоянно будут рывки лаги и прочее, вы почитайте как утроены сети в беспроводном сегменте, про стандарт 802.11, удивитесь насколько больше проблем приходится решать оборудованию в миллисекунду, нежели чем с проводным подключением.
Привет. Поделитесь впечатлениями от домашнего МТС. Меня тоже дом ру за. надоел. В ноябре подняли на 80 рублей, сегодня зашла в личный кабинет хотела оплатить и еще 100 рублей накинули.
Светлана, попробовав Билайн и МТС, последний меня полностью устроил, теперь на него перебрался окончательно. Связь такая же стабильная как и у Домру, а ценник заметно ниже.
Сейчас плачу 350 рублей за 70 Мегабит, но по факту там 100 получается, несколько раз замерял спидтестом. Так что рекомендую
Пользуюсь Ростелекомом,пока нареканий и претензий не имею.Тарифом довольна!
Ростелеком за домашний интернет в 2018 году повысил плату на 50 рублей, в 2019 году уже пришло официальное предупреждение о повышении платы с января месяца на 30 рублей, с новым годом.
Мне доставляет особое удовольствие общаться с продавцами домру по телефону. У этой дешевой конторы нет денег на нормальную рекламу, Поэтому ее представители пытаются продавать, нагло нарушая ст.18 Закона о рекламе.
Отдельные клоуны из домру представляются начальниками отдела интернета и телевидения («Всего Интернета?»- обычно спрашиваю я), за что бывают вздрючены. Некоторые представляются службой качества, за что тоже бывают вздрючены, потому что о качестве не имеют никакого понятия.
Одно время я заставлял этих клоунов представляться по всей форме, с должностью и фамилией («Вам стыдно представиться или вы опасаетесь правоохранительных органов. «)
В общем, я люблю домру, оно доставляет.
Согласен что оператор дом.ру да и весь холдинг ЭРтелеком отвратительны
Решаем обычную задачку формата FullHD что относится к картинке в 1920х1080:
Умножаем количество точек по вертикали на количество точек по горизонту))
Но в секунду у вас идёт не одна картинка, а например 24 кадра в секунду
умножаем 2 мегабайта на 24 кадра и получаем 48 мегабайт в секунду
в 1 байте 8 бит, умножает 48 мегабайт на 8 бит и полчаем 368 Мегабит в секунду
Но это всё было бы хорошо если бы ваш друг неподключился по вайфай и не начал качать что-либо, тогда часть данных ушла вашему другу и по вашему каналу.
А потом вы будете задавать вопросы провайдеру почему вам для картинки FullHD нехватает скорости.
Пользовались дом.ру с 2011 года, если не раньше даже.. Помню скорость ещё была, 256 кбит/с. Причём после модернизации оборудования и смены линейки тарифов разумеется никто не сообщил, о том, что можно за меньшие деньги получать хотя бы мегабит.
Но это было слишком давно, сейчас же наоборот, цены только растут и непонятно за что.
Очень недоволен ценовой политикой компании, было бы за что переплачивать ещё. Единственный провайдер, который просит деньги за подключение, везде для новых клиентов это бесплатно в нашем городе.
Как верно отметили выше, обещания что цена не будет меняться в течении хотя бы года тоже пустые. Поднимут хотя бы на 30-50 рублей и не раз.
Повезло, что у мамы в доме появился провайдер МТС, с радостью перевожу её уже в этом месяце. Причём по её словам, после заявления о расторжении договора, качество услуг ухудшилось.
Ну а я живу отдельно и моя беда в том, что кроме дом.ру больше нет провайдеров в подъезде. Поэтому такой ник. Но я лучше буду себе с телефона интернет раздавать, чем подключусь к этому обоссаному провайдеру.
Я тоже пользовалась интернетом Дом ру с самого их основания. Тем не менее, как к лояльному клиенту поблажек никаких не было. Когда в этом году осталась без дохода, попросила их пересмотреть тариф, они сказали, что нет возможности. Зато, когда поменяла провайдера, то стали уговаривать и возможности откуда то резко появились. Правда уже поздно было. Так они вообще вот что учудили, всплывает их окно, с требованием оплаты и блокирует мне выход в интернет. Никак не могу его у убрать. Хотя всё с моей стороны оплачено и договор по честному закрыт. Звонила им, а они говорят, что это теперь не их проблема.
