Совсем недавно прошел день тестировщика, на котором знаменитый тренер Татьяна Зинченко рассказывала о тестировании безопасности. А сегодня я хочу рассказать вам, как я передала ей все свои пароли.
Разумеется, я не собиралась этого делать. Но карма, она такая. Вроде пытаешься побыть просто пользователем, а оно как-то само ломается...
Начиналось все довольно просто. Мы решили создать проект TEST IT и нужна была "общая" почта, которую смогут читать все ведущие. А, так как проект родился из моей идеи после прочтения книжки 31 Days to finding your blogging mojo! (см пункт 5), то почту создавала я.
Личная почта в gmail, поэтому именно туда я и пошла. Я была очень внимательна! Так как пароль мы создали простой (для простоты обозначим его как "1"), нельзя было допустить, чтобы через эту почту утекли мои личные данные.
Вроде гугл ничего такого не предлагал. Единственная связь со мной - это указание основной элекронной почты как запасной, "на всякий случай".
Фуф, почта создана!
Начали ей пользоваться, читать письма пользователей, обсуждать, отвечать... А потом...
Тут надо сделать небольшое отступление. TEST IT создавался в те времена, когда я пользовалась Google Chrome только на работе, а дома принципиально использовала дефолтный IE. Все сайты, которые я использовала, в нем работали нормально. На других сайтах иногда находились прикольные баги, ну и что?
Так как почта была создана на мое имя, я старалась не смешать ее со своими данными. Да и просто разлогиниваться из основной почты было лень. И безопаснее казалось открывать sprosi.testera из браузера, который на данном компьютере не используется. На работе - из IE, дома из мозиллы.
Потом я купила себе маленький ноутбук lenovo yoga для командировок. И там тоже вначале пользовалась IE. А когда надо было зайти в sprosi.testera, я открыла хром. Радостно ввела логин--пароль, посмотрела входящую почту и закрыла.
Знала ли я, что вхожу не в почту, а в сам хром? Нет, потому что окно входа одинаковое у гугла что так, что там. Мне нужна была почта, поэтому я нажала "Войти".
А потом IE стал тупить на сайте СДО (проверка домашних заданий студентов) и я переползла в хром. А потом так получилось, что я и на ленову мелкую переползла. И стала ходить в зроме по своим закладкам. Авторизовалась везде под настоящей почтой и стала жить-поживать.
А потом Таня уехала в Голландию. И решила оттуда зайти пойти, что нам прислали на общую почту. И вот 14 августа 2014 года она мне пишет:
- Ты пароль меняла?
- Нет, там 1 осталась.
- Хм, не могу войти.
Тут мне приходит письмо на основную почту:
Здравствуйте, Ольга!
Обнаружена попытка использования пароля для входа в Ваш аккаунт Google sprosi.testera@gmail.com. Кто-то попытался войти в Ваш аккаунт через почтовую программу или мобильное устройство.
Мы заблокировали вход в аккаунт, чтобы защитить его от взлома. Ниже приведены данные о попытке входа:
14 Август 2014 г. 11:03:43 UTC
IP-адрес: ***
Страна: Харлем, Нидерланды
Если Вы не входили в аккаунт в это время, возможно, кто-то пытался взломать его. В этом случае немедленно войдите в аккаунт и измените пароль.
Посмеялись - уехала в Европу, гугл признавать перестал. Но ведь это попытка входа в почту, причем общую, чего мне переживать?
Таня смогла таки авторизоваться, через браузер. И пишет мне
- Ох, Оля! Мне подтянулись все твои вкладки
- о_О Даже рабочие??
- Не знаю, я их удалила. Синхронизация же в хроме пошла по спроси тестера. Он у тебя основной аккаунт что ли?
- Нет, не основной!
Я, конечно, была в шоке. Сама туда зашла, все проверила - мой основной аккаунт, на котором висят мои вкладки, указан только как запасной. Странно, конечно, ну и ладно.
[14.08.2014 16:17:30] Татьяна Зинченко: слушай, ну как ныть, что я в Голландии, так он ноет
[14.08.2014 16:17:44] Татьяна Зинченко: а как закладки подтянуть все - так пожалуйста )
[14.08.2014 16:17:54] Ольга Киселева: мдя уж :)
[14.08.2014 16:18:11] Ольга Киселева: а как сделать чтобы он вкладки с основного акка не тянул? оО
[14.08.2014 16:20:25] Татьяна Зинченко: я хз
[14.08.2014 16:20:29] Татьяна Зинченко: но я отключила твой акк
[14.08.2014 16:20:35] Татьяна Зинченко: счас попробую ещё раз войти
[14.08.2014 16:20:56] Татьяна Зинченко: всё, убрала
[14.08.2014 16:21:09] Ольга Киселева: не, ну это не нормально
[14.08.2014 16:21:31] Ольга Киселева: а как МНЕ сделать, чтобы мои вкладки у тебя не вылезали или у Иры или у того, кому мы акк дадим?
[14.08.2014 16:21:38] Татьяна Зинченко: эт я хз
[14.08.2014 16:21:51] Татьяна Зинченко: убери спроси тестера из аккаунтов для синхронизации
[14.08.2014 16:21:54] Татьяна Зинченко: наверное
[14.08.2014 16:21:58] Татьяна Зинченко: но я хз как это сделать
[14.08.2014 16:22:33] Ольга Киселева: я его туда и не добавляла о_О
Ну вроде все верно, закладки мои все висят на ok.molechka, я в своем основном аккаунте нигде sprosi.testera не упоминала для синхронизации. Вроде все хорошо...
Но 17 сентября Таня снова мне написала, сказав, что... получила доступ к моему фейсбуку о_О
Google Chrome услужливо подставил ей мои логин-пароль и авторизовалася.
Вот это чудеса! Мы прошлись по разным сайтам, на которых у меня разные пароли - везде у Тани есть доступ! Замечательно! Почту sprosi.testera я удалила, но у Тани все мои пароли остались. И все, что я могу сделать - это попросить ее почистить куки.
Конечно, после этого случая я выпала в осадок и стала расследовать, как такое вообще могло произойти. Мы создали еще одну почту и попытались найти минимальные шаги воспроизведения - чтобы отправить в google баг с огромной дырой в безопасности.
Но ошибка просто так не воспроизводилась, пока я не разлогинилась из самого хрома и не авторизовалась под новым тестовым ящиком. Он радостно всосал в себя все мои закладки и отобразил их на втором компьютере. Но в фейсбук пока не заходил.
Потом я в хроме вошла в фейсбук и вуаля, на втором ноутбуке тоже стало возможно войти в фейсбук. Это стандартные настройки Google Chrome по синхронизации. Очень удобно, когда у тебя один аккаунт.
И вот тут я вспомнила, что заходила в хроме в почту sprosi.testera на новом ноутбуке. А когда ты первый раз открываешь хром, он предлагает войти не в почту. Он предлагает войти в браузер.
Вот так вот старалась я, старалась защитить свои данные, а потом сама их отдала. На блюдечке с голубой каемочкой. И сразу вспоминается книжка "софт отстой". в которой говорится о бесполезности сообщений вида "а вы уверены, что хотите удалить этот файл?". Пользователь настолько привык к этим сообщениям, что бездумно жмакает "да".
Так же и я, увидев стандартную гугловскую форму ввода логина-пароля, ввела туда данные sprosi.testera и мне даже в голову не пришло, что тем самым я привяжу к общей почте все свои пароли.
Получается, это не дыра в безопасности, это фича! А то, что пользователь сам отдал свои данные - ну, сам дурак. Самое обидное во всем этом то, что я, как пользователь, даже осознав свою ошибку, не могу ничего исправить.
Все, что я могу сделать - попросить Таню очистить куки. Если она не захочет - то увы. Приходится менять пароли
Все равно грустно. Когда дело касается персональных данных, нужно 10 раз перестраховаться. И дать пользователю шанс исправить ошибку. Вот я поняла, что наделала - как я могу защитить свои пароли? Почему я могу нажать "удалить сервис" и удалить все, что было привязано к нему со своего компа, но я не могу сказать "удали все, что привязано к нему, отовсюду"?
Если это фича, почему я не могу сама сбросить у Тани все свои пароли? Правильно Платт пишет в своей книжке - вы можете поставить себе ультрасовременное и мега-защищенное ПО, но не сможете защитить его от тупости пользователей. Если они будут записывать свои пароли на стикерах и вешать их на комп, что даст крутая система безопасности?
Печально признавать, что даже человек, работающий в ИТ индустрии и специльно обращавший внимание на то, чтобы не дать общей почте больше прав, чем нужно, все-таки прокололся и допустил такой косяк. С другой стороны, сколько нас таких?
Какой вывод я могу сделать из этой истории? Тестировщики, помните о пользователях! Когда тестируете свое ПО и проверяете его безопасность, не зацикливайтесь на технологиях, помните о том, что люди ошибаются. И проверяйте с этой точки зрения...
Отвечу, пожалуй, в блог-посте на комментарий - Если б ты чаще пользовалась хромом ты б это знала, а т.к. ты скачешь по всем браузерам, не удивительно, что залогинилась не глядя.
Вот не зря, когда на проект приходит новый человек, остальная команда следит за его первой реакцией на приложение. Потому что мы, работая с этой программой каждый день, уже привыкаем к ней и "глаз замыливается". И уже не видим, что может быть неудобно юзеру.
А в отношении безопасности,я считаю, отслеживание простого пользователя особенно важно. Если ты хочешь на почту подкачать данные с другой почты, сначала проверь, что юзер действительно этого хочет. Например, если бы мне для этого пришлось зайти в настройки и указать основную почту не просто запасной, а "одной из", подвязав к ней вторую, то я бы осознавала, зачем это делаю (для синхронизации) и не поступала бы так для общей почты.
Просто мои действия как пользователя простые:
Разумеется, я не собиралась этого делать. Но карма, она такая. Вроде пытаешься побыть просто пользователем, а оно как-то само ломается...
Начиналось все довольно просто. Мы решили создать проект TEST IT и нужна была "общая" почта, которую смогут читать все ведущие. А, так как проект родился из моей идеи после прочтения книжки 31 Days to finding your blogging mojo! (см пункт 5), то почту создавала я.
Личная почта в gmail, поэтому именно туда я и пошла. Я была очень внимательна! Так как пароль мы создали простой (для простоты обозначим его как "1"), нельзя было допустить, чтобы через эту почту утекли мои личные данные.
Вроде гугл ничего такого не предлагал. Единственная связь со мной - это указание основной элекронной почты как запасной, "на всякий случай".
Фуф, почта создана!
Начали ей пользоваться, читать письма пользователей, обсуждать, отвечать... А потом...
Тут надо сделать небольшое отступление. TEST IT создавался в те времена, когда я пользовалась Google Chrome только на работе, а дома принципиально использовала дефолтный IE. Все сайты, которые я использовала, в нем работали нормально. На других сайтах иногда находились прикольные баги, ну и что?
Так как почта была создана на мое имя, я старалась не смешать ее со своими данными. Да и просто разлогиниваться из основной почты было лень. И безопаснее казалось открывать sprosi.testera из браузера, который на данном компьютере не используется. На работе - из IE, дома из мозиллы.
Потом я купила себе маленький ноутбук lenovo yoga для командировок. И там тоже вначале пользовалась IE. А когда надо было зайти в sprosi.testera, я открыла хром. Радостно ввела логин--пароль, посмотрела входящую почту и закрыла.
Знала ли я, что вхожу не в почту, а в сам хром? Нет, потому что окно входа одинаковое у гугла что так, что там. Мне нужна была почта, поэтому я нажала "Войти".
А потом IE стал тупить на сайте СДО (проверка домашних заданий студентов) и я переползла в хром. А потом так получилось, что я и на ленову мелкую переползла. И стала ходить в зроме по своим закладкам. Авторизовалась везде под настоящей почтой и стала жить-поживать.
А потом Таня уехала в Голландию. И решила оттуда зайти пойти, что нам прислали на общую почту. И вот 14 августа 2014 года она мне пишет:
- Ты пароль меняла?
- Нет, там 1 осталась.
- Хм, не могу войти.
Тут мне приходит письмо на основную почту:
Здравствуйте, Ольга!
Обнаружена попытка использования пароля для входа в Ваш аккаунт Google sprosi.testera@gmail.com. Кто-то попытался войти в Ваш аккаунт через почтовую программу или мобильное устройство.
Мы заблокировали вход в аккаунт, чтобы защитить его от взлома. Ниже приведены данные о попытке входа:
14 Август 2014 г. 11:03:43 UTC
IP-адрес: ***
Страна: Харлем, Нидерланды
Если Вы не входили в аккаунт в это время, возможно, кто-то пытался взломать его. В этом случае немедленно войдите в аккаунт и измените пароль.
Посмеялись - уехала в Европу, гугл признавать перестал. Но ведь это попытка входа в почту, причем общую, чего мне переживать?
Таня смогла таки авторизоваться, через браузер. И пишет мне
- Ох, Оля! Мне подтянулись все твои вкладки
- о_О Даже рабочие??
- Не знаю, я их удалила. Синхронизация же в хроме пошла по спроси тестера. Он у тебя основной аккаунт что ли?
- Нет, не основной!
Я, конечно, была в шоке. Сама туда зашла, все проверила - мой основной аккаунт, на котором висят мои вкладки, указан только как запасной. Странно, конечно, ну и ладно.
[14.08.2014 16:17:30] Татьяна Зинченко: слушай, ну как ныть, что я в Голландии, так он ноет
[14.08.2014 16:17:44] Татьяна Зинченко: а как закладки подтянуть все - так пожалуйста )
[14.08.2014 16:17:54] Ольга Киселева: мдя уж :)
[14.08.2014 16:18:11] Ольга Киселева: а как сделать чтобы он вкладки с основного акка не тянул? оО
[14.08.2014 16:20:25] Татьяна Зинченко: я хз
[14.08.2014 16:20:29] Татьяна Зинченко: но я отключила твой акк
[14.08.2014 16:20:35] Татьяна Зинченко: счас попробую ещё раз войти
[14.08.2014 16:20:56] Татьяна Зинченко: всё, убрала
[14.08.2014 16:21:09] Ольга Киселева: не, ну это не нормально
[14.08.2014 16:21:31] Ольга Киселева: а как МНЕ сделать, чтобы мои вкладки у тебя не вылезали или у Иры или у того, кому мы акк дадим?
[14.08.2014 16:21:38] Татьяна Зинченко: эт я хз
[14.08.2014 16:21:51] Татьяна Зинченко: убери спроси тестера из аккаунтов для синхронизации
[14.08.2014 16:21:54] Татьяна Зинченко: наверное
[14.08.2014 16:21:58] Татьяна Зинченко: но я хз как это сделать
[14.08.2014 16:22:33] Ольга Киселева: я его туда и не добавляла о_О
Ну вроде все верно, закладки мои все висят на ok.molechka, я в своем основном аккаунте нигде sprosi.testera не упоминала для синхронизации. Вроде все хорошо...
Но 17 сентября Таня снова мне написала, сказав, что... получила доступ к моему фейсбуку о_О
Google Chrome услужливо подставил ей мои логин-пароль и авторизовалася.
Вот это чудеса! Мы прошлись по разным сайтам, на которых у меня разные пароли - везде у Тани есть доступ! Замечательно! Почту sprosi.testera я удалила, но у Тани все мои пароли остались. И все, что я могу сделать - это попросить ее почистить куки.
Конечно, после этого случая я выпала в осадок и стала расследовать, как такое вообще могло произойти. Мы создали еще одну почту и попытались найти минимальные шаги воспроизведения - чтобы отправить в google баг с огромной дырой в безопасности.
Но ошибка просто так не воспроизводилась, пока я не разлогинилась из самого хрома и не авторизовалась под новым тестовым ящиком. Он радостно всосал в себя все мои закладки и отобразил их на втором компьютере. Но в фейсбук пока не заходил.
Потом я в хроме вошла в фейсбук и вуаля, на втором ноутбуке тоже стало возможно войти в фейсбук. Это стандартные настройки Google Chrome по синхронизации. Очень удобно, когда у тебя один аккаунт.
И вот тут я вспомнила, что заходила в хроме в почту sprosi.testera на новом ноутбуке. А когда ты первый раз открываешь хром, он предлагает войти не в почту. Он предлагает войти в браузер.
Вот так вот старалась я, старалась защитить свои данные, а потом сама их отдала. На блюдечке с голубой каемочкой. И сразу вспоминается книжка "софт отстой". в которой говорится о бесполезности сообщений вида "а вы уверены, что хотите удалить этот файл?". Пользователь настолько привык к этим сообщениям, что бездумно жмакает "да".
Так же и я, увидев стандартную гугловскую форму ввода логина-пароля, ввела туда данные sprosi.testera и мне даже в голову не пришло, что тем самым я привяжу к общей почте все свои пароли.
Получается, это не дыра в безопасности, это фича! А то, что пользователь сам отдал свои данные - ну, сам дурак. Самое обидное во всем этом то, что я, как пользователь, даже осознав свою ошибку, не могу ничего исправить.
Все, что я могу сделать - попросить Таню очистить куки. Если она не захочет - то увы. Приходится менять пароли
Все равно грустно. Когда дело касается персональных данных, нужно 10 раз перестраховаться. И дать пользователю шанс исправить ошибку. Вот я поняла, что наделала - как я могу защитить свои пароли? Почему я могу нажать "удалить сервис" и удалить все, что было привязано к нему со своего компа, но я не могу сказать "удали все, что привязано к нему, отовсюду"?
Если это фича, почему я не могу сама сбросить у Тани все свои пароли? Правильно Платт пишет в своей книжке - вы можете поставить себе ультрасовременное и мега-защищенное ПО, но не сможете защитить его от тупости пользователей. Если они будут записывать свои пароли на стикерах и вешать их на комп, что даст крутая система безопасности?
Печально признавать, что даже человек, работающий в ИТ индустрии и специльно обращавший внимание на то, чтобы не дать общей почте больше прав, чем нужно, все-таки прокололся и допустил такой косяк. С другой стороны, сколько нас таких?
Какой вывод я могу сделать из этой истории? Тестировщики, помните о пользователях! Когда тестируете свое ПО и проверяете его безопасность, не зацикливайтесь на технологиях, помните о том, что люди ошибаются. И проверяйте с этой точки зрения...
Отвечу, пожалуй, в блог-посте на комментарий - Если б ты чаще пользовалась хромом ты б это знала, а т.к. ты скачешь по всем браузерам, не удивительно, что залогинилась не глядя.
Вот не зря, когда на проект приходит новый человек, остальная команда следит за его первой реакцией на приложение. Потому что мы, работая с этой программой каждый день, уже привыкаем к ней и "глаз замыливается". И уже не видим, что может быть неудобно юзеру.
А в отношении безопасности,я считаю, отслеживание простого пользователя особенно важно. Если ты хочешь на почту подкачать данные с другой почты, сначала проверь, что юзер действительно этого хочет. Например, если бы мне для этого пришлось зайти в настройки и указать основную почту не просто запасной, а "одной из", подвязав к ней вторую, то я бы осознавала, зачем это делаю (для синхронизации) и не поступала бы так для общей почты.
Просто мои действия как пользователя простые:
- Я удалила общую почту.
- Я больше никогда не заведу общую почту в gmail, где у меня есть основная. Потому что я человек, а люди ошибаются. А gmail, как выяснилось, ошибок не прощает.
PS — добавила пост в общую копилку багов.
Значит, я была права. )
ОтветитьУдалитьЕсли б ты чаще пользовалась хромом ты б это знала, а т.к. ты скачешь по всем браузерам, не удивительно, что залогинилась не глядя.
Но повнимательней быть не помешает)
Здраствуйте, Ольга :-)
ОтветитьУдалитьУ меня около 3 лет назад была похожая история, только я выступил в роли Тани:
Один из сотрудников компании пересел на макбук, а я взял его комп в личное пользование ввиду большей мощности. Он, хоть и вылогинился из хрома, пароли не стер. Собственно, все эти пароли, а так же закладки перешли в мой аккаунт.
Так что я был удивлен, когда через несколько дней обнаружил, что хром предлагает мне не мои креденшиалз для сайтов.
Странная фича, на самом деле. Им бы добавить вербосити побольше.
Добрый день, Роман!
УдалитьДа, я согласна, п плане безопасности надо 10 раз перестраховываться - если ты пытаешься на другую почту подцепить пароли, на всю страницу варнинг нарисуй и предупреди с кнопкой "нет, ни за что, очисти все мои куки" :)
Поэтому я всегда, на любом компе, кроме основного домашнего, даже на рабочем, на автомате открываю Chrome в инкогнито режиме.
ОтветитьУдалить