Критическая уязвимость на сайте налоговой
Oct. 21st, 2010 01:05 am![[personal profile]](https://www.dreamwidth.org/img/silk/identity/user.png){kind=small}
catokOriginally posted by ![[livejournal.com profile]](https://www.dreamwidth.org/img/external/lj-userinfo.gif)
teh_nomad at Критическая уязвимость на сайте налоговой
Есть там такой сервис, в котором по своему ИНН можно узнать долги по недвижимости, транспортному налогу и т.д.
https://service.nalog.ru/debt/index.do
Удобная штука и на первый взгляд приватная. Только вот паралелльно там работает сервис для напоминания ИНН с огромной дырой.
http://service.nalog.ru:8080/innmy.d
Казалось бы, штука надежно защищена. Чтобы узнать свой ИНН надо знать паспортные данные.
Но видимо или кодеры поленились, или бабки слишком распилили, но проверки валидности паспортных данных там нет. Можно вводить что угодно, главное, чтобы формат совпадал. То есть любой злоумышленник может ввести ваше ФИО и дату рождения и получить ИНН. А по ИНН распечатать все долги.
Таким нехитрым способом, например, можно узнать ИНН Путина и все его задолженности.
Мелочь конечно, но для гос. учреждения такого уровня позорная.
( (c) )
teh_nomad at Критическая уязвимость на сайте налоговойЕсть там такой сервис, в котором по своему ИНН можно узнать долги по недвижимости, транспортному налогу и т.д.
https://service.nalog.ru/debt/index.do
Удобная штука и на первый взгляд приватная. Только вот паралелльно там работает сервис для напоминания ИНН с огромной дырой.
http://service.nalog.ru:8080/innmy.d
Казалось бы, штука надежно защищена. Чтобы узнать свой ИНН надо знать паспортные данные.
Но видимо или кодеры поленились, или бабки слишком распилили, но проверки валидности паспортных данных там нет. Можно вводить что угодно, главное, чтобы формат совпадал. То есть любой злоумышленник может ввести ваше ФИО и дату рождения и получить ИНН. А по ИНН распечатать все долги.
Таким нехитрым способом, например, можно узнать ИНН Путина и все его задолженности.
Мелочь конечно, но для гос. учреждения такого уровня позорная.
( (c) )
