Mladík odhalil chyby u bezplatných mailů

Uherské Hradiště, Praha - V okamžiku, kdy se probíráte elektronickou poštou, je možné, že vám na druhém konci světa cizí člověk pomocí počítače nahlíží "přes rameno". Listuje vaší korespondencí, pročítá milostná vyznání. Nemáte o tom ani tušení. Student z Uherského Hradiště tvrdí, že objevil hluchá místa u pěti největších českých e-mailových služeb, které uživatelům internetu poskytují zdarma poštovní schránky.

Patnáctiletý student uherskohradišťského gymnázia Marek Blahuš tvrdí, že prohlížení elektronické pošty přes internet není bezpečné. Gymnazista tvrdí, že systémové chyby umožňují cizímu člověku získat přístup k e-mailové schránce uživatele služeb Centrum, Email.cz, MůjMail, Post.cz a Seznam Email.

Princip je velmi jednoduchý. Zjednodušeně - stačí někomu zaslat e-mail, který bude mít skrytý program, zamaskovaný například jako upozornění na zajímavou webovou stránku. Když ji adresát otevře, získá odesílatel zprávy okamžitě přístup ke všemu, co v mailové schránce je, včetně osobních údajů.

KDE MLADÍK ODHALIL CHYBY

Centrum - mail.centrum.cz

Email.cz - www.email.cz

MůjMail - mujmail.atlas.cz

Post.cz - www.post.cz

Seznam Email - email.seznam.cz

VÍCE O CHYBÁCH FREEMAILŮ

Marek Blahuš:
České freemaily nejsou bezpečné!

"V časopise jsem si přečetl, jak se kdosi naboural do systému firmy Microsoft. Byl tam i podrobný návod. Řekl jsem si, že něco podobného zkusím také. Trvalo mi patnáct minut, než jsem se dostal do cizí elektronické pošty," popisuje Marek vlastní zkušenost. Podobně mohl postupovat téměř kdokoliv a nemusel se spokojit jen s pouhým prohlížením korespondence.

Webmasteři: Mladík má pravdu
Správci poštovních serverů připustili, že způsobem, který mladík odhalil, je možné se do elektronické pošty prohlížené internetovým prohlížečem dostat. "Je pravdou, že pokud někdo pošle uživateli mail, který obsahuje JavaScript, může získat přístup na omezenou dobu - asi 15 až 20 minut - do schránky uživatele. Po uplynutí této doby musí postup zopakovat," tvrdí technický ředitel serveru Seznam.cz Petr Šnajdr.

Podle počítačových odborníků má tento problém řešení. "Uživatel mailové schránky je před zobrazením potenciálního nebezpečného kódu upozorněn, že jeho otevření je riskantní a je dotázán, zda chce dál pokračovat. Tento druh zabezpečení je od předchozího víkendu součástí služby Seznam Email," podotkl Šnajdr.

HROZÍ JEN PSYCHICKÁ ÚJMA

Pokud se vám někdo "nabourá" do e-mailové schránky, vážnější nebezpečí než psychická újma většinou nehrozí. Jen málokdo uchovává v elektronické poště životně či obchodně důležité údaje. Kdokoliv ovšem může pod cizím jménem odeslat například záměrně nepravdivou informaci. "Nebo taky důležitou poštu cizímu člověku úplně vymazat," říká Marek Blahuš o možném zneužití.

Mirek Heran, obchodní a marketingový ředitel firmy Czech on line, která provozuje službu Post.cz, prohlásil, že bezpečnostní zajištění mailových schránek pravidelně obnovují. "Uživatelům bych doporučil heslo nejméně s šesti znaky, alespoň jedním číslem, velkými i malými písmeny. Rozhodně by lidé neměli používat v hesle část přihlašovacího jména," nabádá k opatrnosti Heran.

Vylepšení serverů jsou i tak nedostatečná?
Student ovšem upozorňuje, že i přes taková opatření je možné se do cizího mailu dostat. "Teď nechám servery pracovat, aby s tím webmasteři něco udělali, a za čas se pokusím jejich zabezpečení znovu obejít," varuje Marek Blahuš.

Na svoji obranu říká, že nikomu poštu vykrádat nechce, chce jen upozornit lidi, že nemají věřit úplně všemu. Vždy, když na nedokonalost ochrany přišel, informoval o tom i správce poštovních serverů.

"Bohužel technologií je příliš mnoho. Vždy se může stát, že se někde objeví nový způsob. V takových případech jsou správci serverů vděčni, když si někdo dá práci problémy odhalit a upozornit na ně," podotýká webmaster Email.cz Vlastimil Pečínka.

MODERNÍ TECHNOLOGIE: DOBRÝ SLUHA I ZLÝ PÁN

Uživatelé mailových serverů na internetu, které nabízejí své služby převážně zdarma, by měli být při prohlížení svých zpráv maximálně obezřetní. Počítačoví odborníci nabádají k dodržování základních pravidel bezpečnosti při prohlížení zpráv přes internet.
"My například uživatele vedeme k tomu, aby se po skončení práce s mailem řádně odhlašovali. Podle našich statistik to dělá jen asi polovina lidí," říká webmaster serveru Email.cz Vlastimil Pečínka. "Programátoři proto zajistili, že pokud se uživatel řádně neodhlásí, jen zavře okno internetového prohlížeče, po třiceti minutách ho systém odhlásí automaticky."
Víte o tom, že je poměrně jednoduché dostat se někomu do mailové schránky na vašem poštovním serveru?
Ano, student Marek nás kontaktoval předem. To je standardní krok v případě objevení nějaké chyby. Server Email.CZ se snaží minimalizovat uvedené problémy zákazem použití speciálních příkazů ve zprávách. Bohužel technologií je příliš mnoho. Vždy se objeví něco nového.
Umíte se proti tomu bránit?
Ano. Problém spočívá však v tom, že díky současným technologiím je možné mnoho věcí a je třeba postupně odhalovat bezpečnostní rizika, které přináší jejich nasazení. Naše obrana spočívá ve studiu použitých technologií a samosebou i v upozornění našimi uživateli.
Co byste poradili uživateli vašeho mailu, aby předešel vykrádání informací ze své mailové schránky?
Především se přihlašovat s volbou "větší bezpečnost", dále se řádně po skončení práce odhlásit. Hrozí-li, že k prohlížeči má přístup víc lidí, po skončení práce ho uzavřít a  znemožnit tak použití tlačítka Zpět.
Jaké zabezpečení máte proti hackerům na vašem freemailovém serveru?
Provozujeme jen nezbytně nutné aplikace, které jsou vlastní výroby a které jsou tvořeny s myšlenkou "dělají jen to, k čemu jsou určeny", provoz IDS systému, firewall, čtyřiadvacetihodinový monitoring, a především provoz v unixovém prostředí. Podrobnější údaje samosebou uvádět nemohu. Je dobře, že se diskutují takové problémy, protože v důsledku by to mělo vést k tomu, že tvůrci internetových aplikací si dají větší pozor. Vnímám uvedený bezpečnostní problém zejména jako ukázku toho, že současné technologie jsou nejen dobrým sluhou, ale také zlým pánem.