Il buco in Ebay? La solita mezza-bufala

Non vorrei togliere del lavoro al buon Paolo Attivissimo, ma del famigerato "buco" in Ebay se ne parla da settembre dello scorso anno. Ero indeciso se pubblicare o meno un post su questo argomento. Degli amici mi dicono infatti che il forward di notizie non commentate non è di molto interesse. Vero! E allora la commento; anche perché leggendo la notizia su Repubblica si potrebbe pensare che qualcuno si sia introdotto nei sistemi di Ebay, trafugando i dati personali con i numeri delle carte di credito.

Niente di più falso. La vulnerabilità, se così si può definire, è nell'uso delle API che Ebay mette a disposizione delle società che vogliano interagire con i suoi sistemi. Evidentemente le API sono di manica larga e rivelano troppe informazioni che possono poi essere sfruttate con del Cross Site Scripting o del Phishing per carpire la buona fede, e insieme le credenziali, del vincitore dell'asta.

La vulnerabilità è stata provata solo per Ebay.de (quello tedesco) e quindi non è detto che tutti gli Ebay siano effettivamente vulnerabili. Inoltre, se non ricordo male, al momento del pagamento con PayPal, si viene ridirezionati sul loro sito che richiede una ulteriore autenticazione con le credenziali di Paypal. Poi, se Ebay conosce il numero oscurato della carta di credito è un altro discorso. Il numero della carta di credito è in Paypal!

Il giornalista di Repubblica ha però avuto il merito incontestabile di montare un video ad effetto (ironico)! Pensate se uscisse un articolo in cui si dicesse che la maggior parte dei siti di Social networking hanno vulnerabilità simili a quella di Ebay, che cosa succederebbe? .... Lo sapete che è così, vero?

L'Input Sanitization purtroppo non è un'attività molto praticata, anche da Ebay :-)