Dziury w systemach aukcyjnych

Ostatnie dni przyniosły kolejną falę doniesień o dziurach bezpieczeństwa w systemach aukcyjnych. Po odkryciu kilku kolejnych wariantów starych luk w Allegro, również na platformie eBay.pl znaleziono nowy sposób na wykorzystanie starych dziur w zabezpieczeniach.

Allegro stara się dosyć szybko reagować na kolejno ujawniane warianty tej samej luki. Niestety, pomimo ciągłych prac nad zabezpieczeniami, problem luki pozwalającej atakującemu na podmianę dowolnych elementów na stronie platformy nie tylko nie znika, ale wręcz się powiększa. Dlatego też informatycy Allegro mają się wkrótce bardziej kompleksowo przyjrzeć ujawnianym stopniowo błędom - zapowiedział rzecznik serwisu, Bartek Szambelan. Ale czy przyjrzą się, a tym bardziej czy kompleksowo? Zobaczymy.

Co ciekawe, istnieje też inna dziura bezpieczeństwa, która pozwala na wstawienie do aukcji elementów w technologii flash oraz kodów JavaScrit. Teoretycznie problem ten był już usuwany, jednak jego odkrywca, Adriano opracował zmodyfikowaną wersję exploita, którą swobodnie można zastosować. Należy zwrócić uwagę na fakt, że wykorzystanie tego błędu może posłużyć np. do przejęcia kontroli nad cudzym kontem. Coraz większa liczby błędów w zabezpieczeniach platformy niepokoi wielu jej użytkowników.

Problemy nie omijają też polskiego oddziału światowego giganta w dziedzinie aukcji - eBay. W tym przypadku tej platformy również możliwe jest podmienienie liczby komentarzy sprzedawcy oraz odnośników do panelu użytkownika, patrz też komentarz Piotra "Artveb" Podeszwika.

O ile jednak Allegro łata dziury na bieżąco, eBay.pl zdaje się skali problemu w ogóle nie doceniać. Miesiąc temu Paweł Hnydka, Product Manager eBay Polska, zapewnił mnie w rozmowie telefonicznej, iż problem jest znany, a dział bezpieczeństwa serwisu "bardzo uważnie przygląda się" sprawie, podejmując działania mające na celu zwiększenie bezpieczeństwa. Jak jednak wytłumaczył, działania te na razie sprowadzają się do oznaczania w wewnętrznym systemie administracyjnym eBay aukcji potencjalnie niebezpiecznych jako wartych zweryfikowania. Natomiast nie wiadomo kiedy problem zostanie faktycznie rozwiązany, gdyż intensywność działań ze strony działu bezpieczeństwa eBay zależy od skali nasilenia problemu.

Problemy ze wspomnianą luką nie ominęły także serwisu Świstak.pl. Przez ostatni miesiąc w Świstaku nie podjęto bezpośrednich kroków mających na celu likwidacji problemu, ale sytuacja ta ma się zmienić jeszcze w tym tygodniu. Jak poinformował wczoraj redakcję DI Krzysztof Michalak ze Swistak.pl, informatycy serwisu uważają, że przy wystawianiu aukcji nie powinny być dostępne następujące atrybuty CSS:

* position absolute
* z-index
* visible


Zgodnie z art. 6, ust. 1 ustawy o świadczeniu usług drogą elektroniczną, serwisy aukcyjne są zobowiązane informować użytkowników o szczególnych zagrożeniach związanych z korzystaniem z ich usług. Niestety, trudno na stronach trzech głównych platform aukcyjnych dopatrzyć się odpowiedniej informacji o istniejących lukach.

Polacy wolą Allegro

Lider światowego rynku aukcji internetowych eBay mimo zwiększenia o prawie 1/3 liczby użytkowników w naszym kraju nie jest liczącym się konkurentem dla Allegro - informuje Rzeczpospolita.

Według informacji amerykańskiej firmy, w pierwszej połowie roku liczba użytkowników eBay w Polsce wzrosła o 30 proc., do 700 tys. W tym samym czasie Allegro rozwijało się nieco szybciej, jednak przy znacznie większej skali działalności.

"Liczba zarejestrowanych kont w naszym serwisie wzrosła o ponad 35 proc., do 6,5 mln, obroty wzrosły jeszcze więcej, bo o ponad 50 proc." - mówi Rzeczpospolitej Patryk Tryzubiak z Allegro.pl.

Z ok. 2,7 mld zł wydanych w 2006 roku przez Polaków na aukcjach internetowych aż 2,5 mld zł przypadało na transakcje na Allegro.

Jak podaje gazeta, za pośrednictwem eBaya Polacy kupują głównie artykuły za granicą - w II kwartale import wzrósł o 40 proc., do ponad 0,5 mln przedmiotów. Większość stanowiły samochody, motocykle oraz biżuteria. Niemal 55 proc. transakcji przypada na Niemcy, a 30 proc. na Stany Zjednoczone i Wielką Brytanię.

Serwis eBay działa w Polsce od dwóch lat.

Za pieniądze Allegro przymknie oczy na oszustów

Kiedy pojawi się "nielegalna" aukcji, można to zgłosić do Allegro poprzez formularz zgłoszeniowy o naruszeniu zasad. Czas odpowiedzi lub reakcji na takiego maila jest dopiero po 48 h lub wcale.

Od czasu grudniowej emisji naszej reklamy telewizyjnej klocków Geomag wiele osób i firm zachęconych wielkim sukcesem rynkowym GEOMAG rozpoczęło sprzedaż klocków magnetycznych różnych producentów w portalu aukcyjnym Allegro.pl. Często te osoby i firmy bezprawnie wykorzystują opisy oraz zdjęcia GEOMAG do opisywania własnych aukcji.

Przez pewien czas Allegro reagowało na zgłoszenia o naruszeniu zasad, ale po usunięciu około 50 aukcji, odmówili usuwania aukcji łamiących prawo i ich własny regulamin.

źródło

Statystyki Allegro , 6 milionów kont

Gdy przeprowadzana na Allegro transakcja nie została sfinalizowana, niedoszły sprzedawca otrzymać może wystąpić do serwisu o zwrot prowizji. Procedura ta następuje bez względu na przyczyny, jakie uniemożliwiły kupno/sprzedaż. Jednak jeśli jedna ze stron działała w sprzeczności z regulaminem serwisu, otrzymuje ostrzeżenie. Allegro postanowiło te zasady nieco zmodyfikować.

Obecnie, w trakcie procedury zwrotu prowizji wystawiający aukcję otrzyma ostrzeżenie, jeśli okaże się, że podany przez niego powód wystąpienia o zwrot jest nieprawdziwy. Podobnie, jeśli po zakończeniu aukcji odmówi jej finalizacji.

Również niedoszły kupujący może otrzymać "punkt karny", jeśli to on nie wywiąże się ze swoich obowiązków wynikających z uczestnictwa w aukcji. W każdym przypadku jeśli dany użytkownik posiada na swoim koncie trzy "karniaki" jego konto zostaje zawieszone.

Tymczasem od 25.07.2007 polityka Allegro wobec krętaczy uległa złagodnieniu. Od tej pory punkty karne związane z procedurą zwrotu prowizji będą po upływie dwóch lat automatycznie anulowane. Jeśli dany użytkownik posiadał już trzy ostrzeżenia, a jego konto było zawieszone - może liczyć na odwieszenie konta.

W Allegro jest prawie 800 tysięcy zawieszonych kont. To 1/8 z 6 milionów użytkowników, którymi chwali się serwis. To od 1/3 do 1/2 ilości użytkowników, którzy logują się na Allegro w ciągu kwartału. Odhibernowanie kont nie jest działaniem dla dobra zwykłych użytkowników, bo tacy nie mają zawieszanych kont. Ten zapis odwiesza konta zablokowane za konkretne, trzykrotne przewinienie - mówi Strzembkowski. - Allegro poprawia sobie statystyki, argumentując swoje działanie dobrem wyimaginowanej grupy. Tej grupy nie ma, jedyne co łączy właścicieli zablokowanych kont to recydywa w oszukiwaniu uczciwych aukcjonerów.

Śledzenie aukcji przez komunikator

Śledzenie zmian cenowych w obserwowanych aukcjach bywa niewygodne. Wymaga regularnego sprawdzania panelu na stronach WWW, względnie sprawdzania powiadomień e-mailowych, które czasem mogą dotrzeć z opóźnieniem. Istnieje też inna możliwość - przez komunikator Gadu-Gadu, czy też każdy inny obsługujący protokół gg.

Alternatywny sposób obserwowania aukcji zaproponował Kamil Szewczyk, twórca skryptu AleBot - bota funkcjonującego w sieci Gadu-Gadu.

Po dodaniu numeru AleBota (258852) na listę kontaktów, można wysyłać mu adresy aukcji (wklejając je do okna rozmowy). Po akceptacji numeru przez bota będzie on wysyłał raporty dotyczące wybranej aukcji, jeśli nastąpi w niej zmiana ceny. Powiadomienie powinno dotrzeć w ciągu około dwóch minut. Dodatkowo na 10 minut przed zakończeniem licytacji bot przypomni nam o tym fakcie.

AleBot posiada też inną ciekawą funkcję. W momencie wprowadzania adresu aukcji następuje automatyczne sprawdzenie, czy sprzedawca w przeszłości zasłynął jako odwoływacz (funkcja korzystająca z bazy serwisu Wycofa). Sprzedawcę można także sprawdzić bez konieczności dodawania jego aukcji do obserwacji - w tym celu należy wysłać mu komendę w: nazwa_użytkownika (uwaga na dwukropek).

Obecnie AleBot obsługuje jedną platformę aukcyjną - Allegro. Autor jednak nie wyklucza, że w przyszłości - jeśli tylko pojawi się zapotrzebowanie - może zostać wprowadzona obsługa Świstaka oraz eBaya.

Więcej informacji znajdziecie na stronie AleBota.

Na aukcji 200 tys. zł za Prezydenta Polski

Po ostatnich wydarzeniach w kraju (...) stwierdzam, że mój Prezydent RP Pan Lech Kaczyński przestał być dla mnie w jakikolwiek sposób przydatny... - takimi słowami rozpoczyna się opis "przedmiotu" aukcji, która 24 lipca pojawiła się w serwisie Allegro.

Sprzedający o nicku anebia w aukcji zatytułowanej "Prezydent RP w pakiecie z Premierem - Okazja" zaledwie po kilku godzinach dostał 21 ofert kupna, a cena przekroczyła 10 tys. zł. Przed usunięciem aukcji przez Allegro cena za wystawiony "pakiet polityczny" przekroczyła 200 tys. zł :-)

Przedstawiciel serwisu poinformował sprzedającego, że naruszył punkt 17.1 regulaminu Allegro. Chodzi o prawo do przekazania tytułu własności do towaru wystawionego na aukcji. W przypadku użytkownika anebia posiadanie powyższych uprawnień "budziło poważną wątpliwość".

Ponadto oferta miała charakter aukcji charytatywnej, a tego typu aukcje objęte są specjalnymi ograniczeniami. Jednocześnie obsługa Allegro poinformowała o wymogach, jakie stawia serwis dotyczące takich aukcji (charytatywnych).

Jeśli bacznie przyjrzymy się opisowi "przedmiotu" odnajdziemy kolejną nieścisłość - Prezydent RP został wystawiony jako... samochód. O ile "rok produkcji" można w rzeczywisty sposób odnieść do daty urodzin Lecha Kaczyńskiego, tak własności jak np. "typ" czy "liczba drzwi" wydają się co najmniej dziwne. Przedstawiciel Allegro w liście do użytkownika anebia nic nie wspomniał o niewłaściwej kategorii.

Sprzedający spytany o powód wystawienia stwierdza, że Allegro to lepsze miejsce na przedstawienie swoich racji większej rzeszy internautów, niż wypowiedź na forum, gdzie - jak mówi - "90 proc. wypowiedzi to żarty". W ten sposób użytkownik niejako sam przyznaje, że opisywana aukcja tak naprawdę nie służyła zarobkowi, a zwróceniu uwagi na swoje zdanie i wyrażenie niezadowolenia z obecnych rządów. Anebia w pewnym sensie dopiął swego - o jego poglądach dowiedziało sie całkiem sporo internautów, natomiast najbliższa okazja do zmiany sytuacji politycznej w kraju może, choć nie musi, nadejść już jesienią.

A tu kopia tej aukcji z prezydentem