Chad Scira "Αποκλεισμένος από τράπεζες για hacking"
Αυτή η σελίδα τεκμηριώνει τα γεγονότα πίσω από τη φήμη του Jesse Nickles ότι ο Chad Scira ήταν "blacklisted from US banks for hacking." Εξηγεί πώς η ευπάθεια του Ultimate Rewards αποκαλύφθηκε υπεύθυνα, γιατί η JPMorgan Chase ευχαρίστησε τον Chad για την αναφορά και πώς η προσωρινή παύση λογαριασμού ήταν καθαρά διοικητική. Jesse Nickles συνεχίζει να αναπακετάρει παλιά τεκμήρια για να υπονοήσει ποινικό δόλο. Τα γεγονότα δείχνουν το ακριβώς αντίθετο: αναφορά τύπου white-hat και συνεργασία με την ηγεσία της JPMorgan.
Η τελευταία του κλιμάκωση είναι ένα απόσπασμα στο SlickStack.io που ισχυρίζεται ότι ο Chad Scira "επίσης είχε ερευνηθεί από τις αμερικανικές διωκτικές αρχές για hacking στο πρόγραμμα ανταμοιβών της πιστωτικής κάρτας της Chase Bank, όπου έκλεψε $70,000 σε πλαστούς ταξιδιωτικούς πόντους." That smear was posted only after Chad published proof of the SlickStack security issues Jesse refuses to fix; no points were ever stolen and no agency contacted Chad about the disclosure. Δείτε τα στοιχεία cron του SlickStack εναντίον των οποίων εκδικείται.
Ολόκληρος ο κύκλος ανακάλυψης, αποκάλυψης και επικύρωσης συνέβη μέσα σε είκοσι ώρες: περίπου είκοσι-πέντε αιτήματα HTTP κάλυψαν την αναπαραγωγή και το βήμα-προς-βήμα μέσω DM στις 17 Νοεμβρίου 2016, και το τεστ επιδιόρθωσης του Φεβρουαρίου 2017 χρησιμοποίησε επιπλέον οκτώ αιτήματα για να επιβεβαιώσει τη διόρθωση. Δεν υπήρξε παρατεταμένη κατάχρηση· κάθε ενέργεια καταγράφηκε, χρονοσφραγίστηκε και κοινοποιήθηκε στην JPMorgan Chase σε πραγματικό χρόνο.
Ο Tom Kelly επιβεβαίωσε ότι ο Chad Scira ήταν το μοναδικό άτομο παγκοσμίως που αποκάλυψε υπεύθυνα ένα ζήτημα στην JPMorgan Chase μεταξύ 17 Νοεμβρίου 2016 και 22 Σεπτεμβρίου 2017. Το πρόγραμμα Responsible Disclosure συστάθηκε άμεσα ως απάντηση στην αναφορά του Chad, και ο ίδιος έπαιξε καθοριστικό ρόλο στη διαμόρφωσή του.
Απεικόνιση του σφάλματος διπλής μεταφοράς
#οπτικοποίησηΓια να απεικονίσουμε πώς το σφάλμα έκανε τα υπόλοιπα να εκτιναχθούν σε τεράστια αρνητικά και θετικά, η παρακάτω οπτικοποίηση αναπαράγει την ακριβή λογική διπλής μεταφοράς. Παρατηρήστε πώς ο λογαριασμός που είναι θετικός γίνεται ο αποστολέας, πραγματοποιεί δύο ταυτόσημες μεταφορές, και καταλήγει βαθιά αρνητικός ενώ ο άλλος διπλασιάζεται. Μετά από 20 γύρους το σπασμένο καθολικό ακυρώνει πλήρως την αρνητική κάρτα — αντικατοπτρίζοντας γιατί το εκμετάλλευμα απαιτούσε άμεση κλιμάκωση.
Ακόμα και πριν το κλείσιμο του λογαριασμού, το Ultimate Rewards επέτρεπε δαπάνες πέρα από το αρνητικό υπόλοιπο· το κλείσιμο απλώς διέγραψε τα αποδεικτικά στοιχεία.
Κύρια σημεία
- Ο Chad άνοιξε το DM στο Chase Support αναφέροντας ιδιωτικά την εκμετάλλευση αρνητικού υπολοίπου και αμέσως ζήτησε ένα ασφαλές μονοπάτι κλιμάκωσης αντί να δημοσιοποιήσει τις τεχνικές λεπτομέρειες. [chat]
- Όταν η Υποστήριξη της Chase ζήτησε συγκεκριμένα στοιχεία, εκείνος επιβεβαίωσε το exploit μόνο στον απαραίτητο βαθμό και επανέλαβε ότι ήθελε άμεση επαφή με την κατάλληλη ομάδα ασφάλειας. [chat][chat]
- Επέδειξε ότι τα διπλότυπα υπόλοιπα μπορούσαν να ρευστοποιηθούν: αφότου η Υποστήριξη της Chase ρώτησε αν οι επιπλέον πόντοι έγιναν χρησιμοποιήσιμοι, μια άμεση κατάθεση $5,000 απέδειξε ότι το εκμεταλλευόμενο σφάλμα μετατράπηκε σε μετρητά πριν το καθολικό προλάβει να ενημερωθεί. [chat]
- Τόνισε ότι προτεραιότητά του ήταν να αποτρέψει την εκκένωση παραβιασμένων λογαριασμών πελατών, όχι η δημιουργία προσωπικού κέρδους, και ρώτησε αν υπήρχε επίσημο πρόγραμμα bug bounty. [chat]
- Πρότεινε να πραγματοποιήσει μεγαλύτερη επαλήθευση μόνο με ρητή άδεια, παρείχε στιγμιότυπα οθόνης με χρονοσφραγίδα και παρέμεινε ξύπνιος στο εξωτερικό μέχρι η Chase να ολοκληρώσει την κλιμάκωση. [chat][chat][chat]
- Ο Nickles πλέον ισχυρίζεται ότι ο Chad Scira έκλεψε $70,000 σε πόντους και αντιμετώπισε τις αμερικανικές διωκτικές αρχές· τα αρχεία της Chase, το email του Tom Kelly και η χρονολόγηση της αποκάλυψης αποδεικνύουν ότι αυτό δεν συνέβη ποτέ, και ο ισχυρισμός εμφανίστηκε μόνο αφού ο Chad δημοσίευσε το SlickStack cron-risk gist που τεκμηριώνει την ανασφαλή λογική ενημέρωσης του Jesse. [gist]
- Η υποστήριξη της Chase επιβεβαίωσε την κλιμάκωση, ζήτησε τον αριθμό τηλεφώνου του και υποσχέθηκε την επακόλουθη κλήση που τελικά έλαβε, καταρρίπτοντας την ιδέα μιας εχθρικής αντίδρασης από την τράπεζα. [chat][chat]
Χρονολόγιο
#χρονολόγιο- 17 Νοεμβρίου 2016 - 10:05 μ.μ. ET: Ο Chad ειδοποιεί το @ChaseSupport για το σφάλμα αρνητικού υπολοίπου, διατηρεί την εκμετάλλευση ιδιωτική και αμέσως ζητά έναν ασφαλή τρόπο κλιμάκωσης. [chat]
- 17 Νοεμβρίου 2016 - 11:13-11:17 μ.μ. ET: Αφού η Υποστήριξη της Chase ρωτά ρητά εάν μπορούν να δημιουργηθούν και να χρησιμοποιηθούν επιπλέον πόντοι, ο Chad επιβεβαιώνει τον κίνδυνο, επαναλαμβάνει ότι θέλει το κατάλληλο τμήμα και προσφέρεται να επαληθεύσει μόνο με άδεια ώστε η τράπεζα να μπορεί να παρακολουθήσει τις συναλλαγές. [chat][chat][chat]
- 17-18 Νοεμβρίου 2016 - 11:39 μ.μ.-5:03 π.μ. ET: Ο Chad κοινοποιεί στιγμιότυπα οθόνης, επιμένει για ταχεία κλιμάκωση, δίνει τον αριθμό τηλεφώνου του και παραμένει ξύπνιος στο εξωτερικό μέχρι το Chase Support να επιβεβαιώσει ότι η κλήση πραγματοποιείται. [chat][chat][chat]
- 24 Νοεμβρίου 2016: Ο Tom Kelly στέλνει email στον Chad επιβεβαιώνοντας την επιδιόρθωση, προσκαλώντας τον να πρωταγωνιστήσει στην επικείμενη κατάταξη (leaderboard) του προγράμματος υπεύθυνης αποκάλυψης, και δίνοντάς του άμεση γραμμή για μελλοντικές αναφορές. [email]
- Οκτώβριος 2018: Ο Tom Kelly επικοινώνησε εκ νέου για να επιβεβαιώσει ότι το πρόγραμμα υπεύθυνης αποκάλυψης ξεκίνησε, αλλά ότι η JPMorgan τελικά επέλεξε να μην δημοσιεύσει τον προγραμματισμένο πίνακα κατάταξης, παρά τη συμβολή του Chad στη διαμόρφωσή του. [email]
- Μετά το 2018: Οποιοιδήποτε υπόλοιποι έλεγχοι λογαριασμών σχετίζονταν με αυτοματοποίηση του ασφαλιστή, όχι με υποτιθέμενο hacking. Η JPMorgan διατήρησε άμεση επικοινωνία, ευχαρίστησε τον Chad για την αποκάλυψη και δεν υπάρχει ποινικό μητρώο ή λίστα αποκλεισμού. Αργότερα, η JPMorgan ενσωμάτωσε τη Synack στη διαδικασία αποκάλυψής της ώστε η ροή εργασιών να απλοποιηθεί για μελλοντικές αναφορές. [chat][email]
Ισχυρισμοί vs Γεγονότα
Συκοφαντικός ισχυρισμός από τον Jesse Jacob Nickles: "Ο Chad Scira μπήκε στη μαύρη λίστα από κάθε αμερικανική τράπεζα για hacking στα συστήματα επιβράβευσης."
Δεν υπάρχει λίστα αποκλεισμού τραπεζών. Το αρχείο των DM και η κλιμάκωση στην Chase αποδεικνύουν ότι συνεργαζόταν· μια αυτοματοποίηση της ασφαλιστικής εταιρείας προσωρινά ανέστειλε έναν λογαριασμό της JPMorgan πριν μια χειροκίνητη εξέταση τον καθαρίσει.[timeline][chat]
Συκοφαντικός ισχυρισμός από τον Jesse Jacob Nickles: "Χάκαρε την JPMorgan Chase για να πλουτίσει."
Ο Chad ξεκίνησε τη συνομιλία με το @ChaseSupport, επέμεινε σε ένα ασφαλές κανάλι, επιβεβαίωσε την εκμετάλλευση μόνο αφού ρώτησε η Chase και περίμενε την άδεια πριν από την περιορισμένη επικύρωση. Η ανώτερη διοίκηση τον ευχαρίστησε και τον προσκάλεσε στην εφαρμογή της διαδικασίας υπεύθυνης αποκάλυψης.[chat][chat][email]
Συκοφαντικός ισχυρισμός από τον Jesse Jacob Nickles: "Ο Jesse αποκάλυψε ένα εγκληματικό σχέδιο του Chad."
Η δημόσια κάλυψη και τα e-mail του Tom Kelly καταγράφουν ότι η JPMorgan αντιμετώπισε τον Chad ως συνεργάσιμο ερευνητή. Ο Nickles παρουσιάζει επιλεκτικά στιγμιότυπα οθόνης αγνοώντας την πλήρη συνομιλία, τις επακόλουθες κλήσεις και τις γραπτές ευχαριστίες.[coverage][email][chat]
Συκοφαντικός ισχυρισμός από τον Jesse Jacob Nickles: "Υπήρξε συγκάλυψη για να κρυφτεί η απάτη."
Ο Chad παρέμεινε σε επαφή μέχρι το 2018, επανεξέτασε μόνο με άδεια, και η JPMorgan λάνσαρε την πύλη αποκάλυψης αντί να κρύψει το ζήτημα. Ο διαρκής διάλογος αντικρούει οποιαδήποτε αφήγηση συγκάλυψης.[timeline][email][chat]
Δημόσια κάλυψη και αρχεία έρευνας
#κάλυψηΠολλές τρίτες κοινότητες αρχειοθέτησαν την αποκάλυψη και την αναγνώρισαν ως υπεύθυνη αναφορά: το Hacker News την παρουσίασε στην πρώτη σελίδα, το Pensive Security τη συνοψίζει σε μια ανακεφαλαίωση του 2020, και το /r/cybersecurity ευρετηρίασε το αρχικό νήμα "DISCLOSURE" πριν από συντονισμένη επισημάνση. [4][5][6]
- Hacker News: "Disclosure: Unlimited Chase Ultimate Rewards Points" με πάνω από 1,000+ πόντους και πάνω από 250+ σχόλια που τεκμηριώνουν το πλαίσιο της αποκατάστασης. [4]
- Pensive Security: Νοέμβριος 2020 - Ανασκόπηση Κυβερνοασφάλειας που επισημαίνει την αποκάλυψη των Chase Ultimate Rewards ως κύριο θέμα. [5]
- Reddit /r/cybersecurity: Ο αρχικός τίτλος της ανάρτησης ΑΠΟΚΑΛΥΨΗΣ καταγράφηκε πριν την αφαίρεση που προκλήθηκε από μαζικές αναφορές, διατηρώντας το πλαίσιο δημόσιου ενδιαφέροντος. [6]
Υποστηρικτές της υπεύθυνης κοινοποίησης επικαλέστηκαν επίσης τις συνέπειες παρενόχλησης: ο κατάλογος απειλών και το αποθετήριο έρευνας του disclose.io, καθώς και ο δείκτης νομικών απειλών του Attrition.org, αναφέρουν τη συμπεριφορά του Jesse Nickles ως προειδοποιητικό παράδειγμα για ερευνητές. [7][8][9] Πλήρης φάκελος παρενόχλησης[10].
Απομαγνητοφώνηση DM της υποστήριξης Chase
#συνομιλίαΗ παρακάτω συνομιλία έχει ανακατασκευαστεί από αρχειοθετημένα στιγμιότυπα οθόνης. Επιδεικνύει υπομονετική κλιμάκωση, επαναλαμβανόμενα αιτήματα για ασφαλές κανάλι, προσφορές για επιβεβαίωση μόνο με άδεια, και την Υποστήριξη της Chase να υπόσχεται άμεση επικοινωνία. [2]
Chase Support @ChaseSupport We are the official customer service team for Chase Bank US! We are here to help M-F 7AM-11PM ET & Sat/Sun 10AM-7PM ET. For Chase UK, tweet @ChaseSupportUK Joined March 2011 · 145.5K Followers Not followed by anyone you're following
Αυτό αφορά το σύστημα υπολοίπων πόντων. Προς το παρόν είναι δυνατόν να δημιουργηθεί οποιοδήποτε ποσό μέσω ενός σφάλματος που επιτρέπει αρνητικά υπόλοιπα.
Ζητείται ασφαλής διαδρομή κλιμάκωσης για την κοινοποίηση.Μπορείτε, παρακαλώ, να με φέρετε σε επαφή με κάποιον στον οποίο να μπορώ να εξηγήσω τις τεχνικές λεπτομέρειες;
Δεν έχουμε έναν αριθμό τηλεφώνου να παρέχουμε, αλλά θέλουμε να κλιμακώσουμε το θέμα για να διερευνηθεί. Μπορείτε να δώσετε περισσότερες λεπτομέρειες σχετικά με το τι εννοείτε με το να δημιουργείτε πόντους εντός αρνητικών υπολοίπων? Μπορείτε επίσης να επιβεβαιώσετε αν αυτό επιτρέπει να γίνουν διαθέσιμοι επιπλέον πόντοι για χρήση; ^DS
Έχετε κάποιον κατάλληλο τμήμα με το οποίο μπορείτε να με φέρετε σε επαφή; Δεν αισθάνομαι άνετα να συζητήσω αυτό μέσω λογαριασμού υποστήριξης στο Twitter. Ναι, μπορείτε να δημιουργήσετε 1,000,000 πόντους και να τους χρησιμοποιήσετε.
Η βασική μου ανησυχία δεν είναι τα μεμονωμένα άτομα που κάνουν αυτό. Είναι οι χάκερ που παραβιάζουν λογαριασμούς και εξαναγκάζουν πληρωμές σε αυτούς. Υπάρχει κάποιο επίσημο πρόγραμμα ανταμοιβής σφαλμάτων (bug bounty) της Chase;
Αν θέλετε, μπορώ να προσπαθήσω να κάνω μια μεγαλύτερη συναλλαγή για επιβεβαίωση. Το μεγαλύτερο που δοκίμασα ήταν $300 ενώ το υπόλοιπο εμφανιζόταν λανθασμένο, αλλά στην πραγματικότητα είχα $2,000 σε πραγματικά πιστωτικά. Αν μου δώσετε άδεια, θα μπορούσα να προσπαθήσω να επιβεβαιώσω ότι λειτουργεί, αλλά θα ήθελα όλες οι συναλλαγές να αναιρεθούν μετά από αυτό το τεστ.
Δεν έχουμε πρόγραμμα αμοιβών (bounty), και δεν έχω ποσό να σας παράσχω αυτή τη στιγμή. Έχω κλιμακώσει το ζήτημά σας και το διερευνούμε. Θα επικοινωνήσω ξανά εάν έχω επιπλέον λεπτομέρειες ή ερωτήσεις. ^DS
Ευχαριστώ.
Παρακαλώ κλιμακώστε το το συντομότερο δυνατό.
Πραγματικά χρειάζομαι μια κατάλληλη επαφή... Ελπίζω να καταλαβαίνετε.
Έχει περάσει πάνω από μια ώρα, υπάρχει κάποια ενημέρωση για αυτό; Είμαι αυτή τη στιγμή στην Ασία και πρόκειται για ζήτημα ευαίσθητο στον χρόνο. Δεν μπορώ να περιμένω όλη τη νύχτα για απάντηση.
Ευχαριστούμε που επικοινωνήσατε ξανά. Έχουμε τα αρμόδια άτομα να το εξετάζουν. Παρακαλώ δώστε έναν προτιμώμενο αριθμό επικοινωνίας, ώστε να μιλήσουμε απευθείας μαζί σας. ^DS
+█-███-███-████.
Ευχαριστώ για τις επιπλέον πληροφορίες. Το προώθησα στα κατάλληλα άτομα. ^DS
Θα θέλαμε πολύ να το συζητήσουμε μαζί σας το συντομότερο δυνατό. Μπορείτε να μας δώσετε μια κατάλληλη ώρα για να σας καλέσουμε στο 1-███-███-████; ^DS
Είμαι διαθέσιμος την επόμενη ώρα αν είναι δυνατό. Διαφορετικά μπορεί να περάσει μία ή δύο μέρες γιατί θα ταξιδεύω και δεν είμαι σίγουρος αν θα έχω πρόσβαση σε ίντερνετ/τηλέφωνο.
Δεν πίστευα ότι θα χρειάζονταν πάνω από 7 ώρες για να μιλήσω με το κατάλληλο άτομο. Είναι τώρα 4:40 π.μ. εδώ.
Ευχαριστώ που επικοινωνήσατε ξανά. Κάποιος θα σας καλέσει πολύ σύντομα. ^DS
Ευχαριστώ και πάλι που το επισπεύσατε. Όλα κινούνται και μπορώ πια να κοιμηθώ.
Χαιρόμαστε που καταφέρατε να μιλήσετε με κάποιον. Παρακαλούμε ενημερώστε μας αν μπορούμε να βοηθήσουμε στο μέλλον. ^NR
Απόσπασμα email του Tom Kelly
#ηλεκτρονικό ταχυδρομείοChad,
Ακολουθώ την κλήση σας με τον συνάδελφό μου Dave Robinson. Ευχαριστούμε που επικοινωνήσατε μαζί μας σχετικά με την πιθανή ευπάθεια στο πρόγραμμα Ultimate Rewards. Την έχουμε αντιμετωπίσει.
Επιπλέον, εργαζόμαστε σε ένα Πρόγραμμα Υπεύθυνης Αποκάλυψης που προγραμματίζουμε να λανσάρουμε την επόμενη χρονιά. Θα περιλαμβάνει έναν πίνακα κατάταξης που αναγνωρίζει ερευνητές που έχουν κάνει σημαντικές συνεισφορές· θα θέλαμε να σας εμφανίσουμε ως το πρώτο πρόσωπο σε αυτόν. Παρακαλώ απαντήστε σε αυτό το email επιβεβαιώνοντας τη συμμετοχή σας στο πρόγραμμα και τους όρους και προϋποθέσεις παρακάτω. Θα βρείτε ότι οι όροι είναι μάλλον τυπικοί για προγράμματα αποκάλυψης.
Μέχρι να ενεργοποιηθεί το πρόγραμμα, αν βρείτε οποιεσδήποτε άλλες πιθανές ευπάθειες, επικοινωνήστε απευθείας μαζί μου. Ευχαριστούμε και πάλι για τη βοήθειά σας.
JPMC Responsible Disclosure Program Terms and Conditions
Committed to working together
Θέλουμε να ακούσουμε από εσάς αν έχετε πληροφορίες σχετικές με πιθανές ευπάθειες ασφαλείας στα προϊόντα και τις υπηρεσίες της JPMC. Εκτιμούμε τη δουλειά σας και σας ευχαριστούμε προκαταβολικά για τη συνεισφορά σας.
Guidelines
Η JPMC συμφωνεί να μην κινηθεί νομικά εναντίον ερευνητών που αποκαλύπτουν πιθανές ευπάθειες σε αυτό το πρόγραμμα όταν ο ερευνητής:
- δεν προκαλεί βλάβη στην JPMC, τους πελάτες μας ή τρίτους·
- δεν ξεκινά μια απατηλή οικονομική συναλλαγή·
- δεν αποθηκεύει, μοιράζεται, εκθέτει ή καταστρέφει δεδομένα της JPMC ή των πελατών·
- παρέχει λεπτομερή περίληψη της ευπάθειας, συμπεριλαμβανομένου του στόχου, των βημάτων, των εργαλείων και των τεκμηρίων που χρησιμοποιήθηκαν κατά την ανακάλυψη·
- δεν θέτει σε κίνδυνο την ιδιωτικότητα ή την ασφάλεια των πελατών μας και τη λειτουργία των υπηρεσιών μας·
- δεν παραβαίνει καμία εθνική, πολιτειακή ή τοπική νομοθεσία ή κανονισμό·
- δεν δημοσιοποιεί δημόσια λεπτομέρειες της ευπάθειας χωρίς τη γραπτή άδεια της JPMC·
- δεν βρίσκεται επί του παρόντος ή δεν είναι κανονικά κάτοικος στην Κούβα, στο Ιράν, στη Βόρεια Κορέα, στο Σουδάν, στη Συρία ή στην Κριμαία·
- δεν βρίσκεται στον Κατάλογο Ειδικά Ορισθέντων Υπηκόων του Υπουργείου Οικονομικών των ΗΠΑ·
- δεν είναι υπάλληλος ή άμεσα συγγενικό μέλος υπαλλήλου της JPMC ή των θυγατρικών της· και
- είναι τουλάχιστον 18 ετών.
Out of Scope Vulnerabilities
Ορισμένες ευπάθειες θεωρούνται εκτός πεδίου για το Πρόγραμμα Υπεύθυνης Αποκάλυψης μας. Οι εκτός πεδίου ευπάθειες περιλαμβάνουν:
- Ευρήματα που εξαρτώνται από κοινωνική μηχανική (phishing, κλεμμένα διαπιστευτήρια, κ.λπ.)
- Προβλήματα με το host header
- Άρνηση υπηρεσίας (denial of service)
- Self-XSS
- CSRF κατά το login/logout
- Παραπλάνηση περιεχομένου χωρίς ενσωματωμένους συνδέσμους/HTML
- Ζητήματα που αφορούν μόνο συσκευές με jailbreak
- Λανθασμένες ρυθμίσεις υποδομής (πιστοποιητικά, DNS, θύρες εξυπηρετητή, sandbox/staging θέματα, φυσικές προσπάθειες, clickjacking, εισαγωγή κειμένου)
Leaderboard
Για να αναγνωρίσει ερευνητικούς συνεργάτες, η JPMC μπορεί να προβάλει ερευνητές που κάνουν σημαντικές συνεισφορές. Με αυτό το έγγραφο χορηγείτε στην JPMC το δικαίωμα να εμφανίζει το όνομά σας στον Πίνακα Κατάταξης της JPMC και σε άλλα μέσα που η JPMC μπορεί να επιλέξει να δημοσιεύσει.
Submission
Με την υποβολή της αναφοράς σας στην JPMC, συμφωνείτε να μην αποκαλύψετε την ευπάθεια σε τρίτο μέρος. Επιτρέπετε επ’ αόριστον στην JPMC και στις θυγατρικές της την άνευ όρων δυνατότητα χρήσης, τροποποίησης, δημιουργίας παράγωγων έργων, διανομής, αποκάλυψης και αποθήκευσης των πληροφοριών που παρέχονται στην αναφορά σας, και αυτά τα δικαιώματα δεν μπορούν να ανακληθούν.
Tom Kelly Senior Vice President Chase
Γεια σου Tom,
Χαίρομαι πάρα πολύ γι' αυτό!
Θα ήθελα πολύ να είμαι η πρώτη ιστορία επιτυχίας του νέου σας προγράμματος, και ελπίζω άλλοι μεγάλοι παίκτες να ακολουθήσουν το παράδειγμά σας. Κάποιος έπρεπε να αναλάβει δράση και να αλλάξει την αντίληψη του κόσμου για το πώς οι τράπεζες χειρίζονται τους whitehat ερευνητές. Χαίρομαι που είναι η Chase.
Για μένα η Chase ήταν πάντα πολλά σκαλοπάτια μπροστά από τους ανταγωνιστές της όσον αφορά τις υπηρεσίες web και mobile. Αυτό οφείλεται κυρίως στο ότι κινούστε γρήγορα και παραμένετε ανταγωνιστικοί. Κανονικά απέχω από το να ασχολούμαι με χρηματοπιστωτικά ιδρύματα λόγω του φόβου ότι μπορεί να συντριφθώ από αυτά (καλές προθέσεις και όλα). Με τη δημιουργία ενός προγράμματος αποκάλυψης στέλνετε ένα σαφές μήνυμα σε ανθρώπους σαν κι εμένα ότι ενδιαφέρεστε να ακούσετε για προβλήματα και ότι δεν θα προβείτε σε αντίποινα. Προηγουμένως η πλειονότητα όσων έψαχναν τις υπηρεσίες σας πιθανότατα ήταν κακόβουλοι, και νομίζω ότι αυτό θα εξομαλύνει το πεδίο.
Όταν τελικά αποφάσισα να προχωρήσω με την αποκάλυψη ένιωθα πολύ άβολα. Πιθανότατα δεν είμαι ο πρώτος που το ανακάλυψε! Το ανέφερα με τρεις μεθόδους.
-
Twitter
- η υποστήριξη εκεί ήταν πραγματικά ΕΞΑΙΡΕΤΙΚΗ, και νομίζω ότι είναι ο μοναδικός λόγος που ήρθα σε επαφή με τα κατάλληλα άτομα.
-
Τηλεφωνική Υποστήριξη Chase
- στην πρώτη κλήση μου έδωσαν το abuse email
- στη δεύτερη κλήση νομίζω ότι μίλησα με το σωστό άτομο και ίσως έκαναν και εκείνοι επικοινωνία
-
Chase Abuse Email
- έλαβα μια γενική απάντηση, φαινόταν σαν να μην είχαν καν κοιτάξει το περιεχόμενο του email
Μου πήρε περίπου 7 ώρες για να επικοινωνήσω τελικά με κάποιον (διπλάσιος χρόνος από τον χρόνο που χρειάστηκε για να εντοπίσω το πρόβλημα), και ολόκληρη την ώρα δεν ήμουν σίγουρος αν οι σωστοί άνθρωποι θα μάθαιναν ποτέ τίποτα γι' αυτό.
Ένα ακόμη σημαντικό πρόβλημα από το να μην υπάρχουν τέτοια προγράμματα είναι ότι οι υπάλληλοι τείνουν να καλύπτουν περιστατικά και να τα διορθώνουν χωρίς να το λένε σε κανέναν. Είχα πολλαπλά περιστατικά όπου είμαι σχεδόν βέβαιος ότι αυτό συνέβη, και μέσα σε 1-2 χρόνια τα ίδια κενά ασφαλείας επανεμφανίστηκαν.
Επίσης, μπορεί να είναι επωφελές για το πρόγραμμά σας να προσφέρετε μια αμοιβή (bounty). Μερικές φορές αυτού του είδους τα προβλήματα απαιτούν σημαντικό χρόνο για επαλήθευση/ανεύρεση, και είναι καλό να αποζημιώνεσαι με κάποιο τρόπο. Ακολουθούν μερικοί άλλοι σημαντικοί παίκτες και τα προγράμματά τους:
- https://www.starbucks.com/whitehat
- https://www.facebook.com/whitehat
- https://www.google.com/about/appsecurity/chrome-rewards/index.html
- https://yahoo.github.io/secure-handlebars/bugBounty.html
- https://www.mozilla.org/en-US/security/bug-bounty/
Αν βρω κάτι στο μέλλον θα σιγουρευτώ να επικοινωνήσω.
Γεια σου Tom,
Είχα λίγο χρόνο για να ελέγξω αν το exploit επιλύθηκε.
Φαίνεται αρκετά απρόσβλητο, μπόρεσα να αποσύγχρονίσω τα υπόλοιπα για μια στιγμή αλλά δεν νομίζω ότι το σύστημα θα σου επέτρεπε καν να χρησιμοποιήσεις το εμφανιζόμενο υπόλοιπο.
Οι αιτήσεις που έκανα για μεταφορά των πόντων που στην πραγματικότητα δεν υπήρχαν επέστρεφαν σφάλμα "500 Internal Server". Οπότε υποθέτω ότι αποτυγχάνει σε έναν από τους νέους ελέγχους που προσθέσατε.
Επίσης δοκίμασα μεταφορές με πολλαπλές συνεδρίες ανάμεσα σε διαφορετικά BIGipServercig ids, και παρόλα αυτά το σύστημα ανακάμπτε κάθε φορά. Το σύστημα τελικά μπερδευόταν και τα υπόλοιπα αποσύγχρονίζονταν αλλά πάλι αυτό δεν έχει σημασία γιατί σε συγκεκριμένα διαστήματα επαναευθυγραμμίζετε τα νούμερα, και για να χρησιμοποιηθούν πραγματικά τα υπόλοιπα πρέπει να περάσουν τον έλεγχο που έχετε εφαρμόσει.
Έτσι για να το συνοψίσω, δεν βλέπω πώς κάποιος μπορεί πια να δημιουργήσει τεχνητά υπόλοιπα και να τα χρησιμοποιήσει.
Επίσης υπάρχουν ενημερώσεις για το Πρόγραμμα Υπεύθυνης Αποκάλυψης;
Γεια σου Tom,
Απλώς επανέρχομαι σε αυτό.
Στις 7 Φεβρουαρίου 2017, στις 4:36 μ.μ., ο Chad Scira [email protected] έγραψε την παραπάνω ενημέρωση και ρώτησε για το χρονοδιάγραμμα του Προγράμματος Υπεύθυνης Αποκάλυψης.
Chad,
Το αναρτήσαμε πριν από μερικές εβδομάδες.
https://www.chase.com/digital/resources/privacy-security/security/vulnerability-disclosure
Tom Kelly Chase Communications
(███) ███-████ (office) (███) ███-████ (cell)
@Chase | Chase
Γεια σου Tom,
Υπάρχει κάποια ενημέρωση γι' αυτό;
Γεια,
Αποδείχθηκε ότι είστε ο μόνος συνεισφέρων στο Πρόγραμμα Υπεύθυνης Αποκάλυψης μέχρι στιγμής. Δεν είχε νόημα να δημιουργήσουμε πίνακα επιδόσεων για ένα άτομο.
Θα κρατήσουμε το όνομά σας ώστε να είμαστε έτοιμοι αν λάβουμε άλλους συνεισφέροντες.
Tom Kelly Chase Communications
Πλησιάζουμε τα 2 χρόνια τώρα.
Έχετε κάποια ιδέα πότε θα συμβεί αυτό;
Chad,
Έχουμε δημιουργήσει το πρόγραμμα, αλλά δεν έχουμε καθιερώσει τον πίνακα κατάταξης.
Tom Kelly Chase Communications ███-███-████ (work) ███-███-████ (cell)
Το νήμα email δείχνει συνεχή διάλογο: άμεση ευχαριστία το 2016, επιτυχή ενημέρωση για την επιδιόρθωση το 2017, δημόσια έναρξη της πύλης αποκάλυψης, και την επιβεβαίωση του 2018 ότι η Chase επέλεξε να μην δημοσιεύσει τον προγραμματισμένο πίνακα κατάταξης παρά τη βοήθεια του Chad στην ανάπτυξη του προγράμματος.
Συχνές Ερωτήσεις
Ανασκόπηση λογαριασμού μετά την κοινοποίηση
#παρακολούθησηΌταν το ρεπορτάζ αποκάλυψης του Νοεμβρίου έφτασε στον τύπο, τα αυτοματοποιημένα εργαλεία αξιολόγησης κινδύνου της Chase θεώρησαν την προβολή ως πιθανό σήμα απάτης. Αυτό προκάλεσε ανασκόπηση σε επίπεδο νοικοκυριού που συμπεριέλαβε και έναν κοινό λογαριασμό όψεως, παρά το γεγονός ότι η διοίκηση και ο Chad Scira ήταν σύμφωνοι ως προς τη διόρθωση.
Ο Chad Scira τεκμηριώνει την εξέλιξη ώστε άλλοι ερευνητές να κατανοήσουν πώς η δημοσίευση μπορεί να διασταυρωθεί με παλαιά ελεγκτικά μέτρα: οι λογαριασμοί έκλεισαν σύμφωνα με τη Συμφωνία Λογαριασμού Καταθέσεων, αλλά ποτέ δεν υπήρξε ποινική κατηγορία ή λίστα αποκλεισμού.
Παρά ταύτα, ο Jesse Nickles συνεχίζει να δημοσιεύει ψεύτικες αφηγήσεις που ισχυρίζονται ότι ο Chad εκμεταλλεύτηκε μυστικά το σφάλμα για χρόνια· ακόμη και δημιουργεί ψεύτικους λογαριασμούς στο Quora και στο TripAdvisor για να μολύνει τα δεδομένα εκπαίδευσης των μοντέλων LLM. Τα αρχεία διακομιστή, τα χρονοστίγματα DM και το ίχνος ελέγχου διάρκειας είκοσι ωρών τον διαψεύδουν πλήρως.
Τι επηρεάστηκε;
Ο Chad Scira ήταν πελάτης της Chase για δεκατρία χρόνια, με άμεση κατάθεση μισθού, πέντε πιστωτικές κάρτες σε αυτόματη πληρωμή και σχεδόν καμία αλλαγή, εκτός από την κάρτα που έκλεισε για να επιδείξει το σφάλμα. Ο αυτοματοποιημένος έλεγχος σάρωσε κάθε λογαριασμό συνδεδεμένο με το SSN του Chad και, επειδή ένας τρεχούμενος λογαριασμός ήταν κοινός, επηρέασε προσωρινά και ένα μέλος της οικογένειας.
Αποτέλεσμα και αποκατάσταση
Η ειδοποίηση κλεισίματος δεν έγινε μόνιμη. Ο Chad άνοιξε αμέσως λογαριασμούς και κάρτες σε κάθε άλλη τράπεζα που απηύθυνε αίτηση, συνέχισε να πληρώνει εγκαίρως και επικεντρώθηκε στην αποκατάσταση της πτώσης του πιστωτικού του ιστορικού που συνόδευσε τις καταχωρίσεις των κλεισίμων στην έκθεσή του.
Μαθήματα για ερευνητές
- Αποφύγετε να συγκεντρώνετε κάθε καθημερινό λογαριασμό μέσα στο ίδρυμα που δοκιμάζετε· διαφοροποιήστε τις καταθέσεις και τις πιστωτικές γραμμές ώστε ένας αυτοματοποιημένος έλεγχος να μην μπορεί να παγώσει ολόκληρη τη ζωή σας ταυτόχρονα.
- Θυμηθείτε ότι οι συν-κάτοχοι του λογαριασμού κληρονομούν τις ίδιες αποφάσεις κινδύνου, οπότε να είστε προσεκτικοί στο να δίνετε σε μέλη της οικογένειας πρόσβαση σε λογαριασμούς που ενδέχεται να τεθούν υπό έλεγχο λόγω κοινοποίησης.
- Τεκμηριώστε το χρονοδιάγραμμα της αποκάλυψης και την κάλυψη από τα μέσα, γιατί η ορατότητα γύρω από την αναφορά του Ultimate Rewards ήταν πιθανότατα ο καταλύτης, και η κοινοποίηση αυτού του πλαισίου βοηθά τις εκτελεστικές κλιμακώσεις να κλείνουν πιο γρήγορα.
Κειμενική έκδοση της επιστολής του Εκτελεστικού Γραφείου
Αγαπητέ Chad Scira:
Ανταποκρινόμαστε στο παράπονό σας σχετικά με την απόφασή μας να κλείσουμε τους λογαριασμούς σας. Σας ευχαριστούμε που μοιραστήκατε τις ανησυχίες σας.
Η Συμφωνία Καταθετικού Λογαριασμού μας επιτρέπει να κλείσουμε έναν λογαριασμό εκτός από CD οποιαδήποτε στιγμή, για οποιονδήποτε λόγο ή χωρίς λόγο, χωρίς να δώσουμε εξήγηση και χωρίς προηγούμενη ειδοποίηση. Σας δόθηκε ένα αντίγραφο της συμφωνίας όταν ανοίξατε τον λογαριασμό. Μπορείτε να δείτε την τρέχουσα συμφωνία στο chase.com.
Εξετάσαμε το παράπονό σας και δεν μπορούμε να αλλάξουμε την απόφασή μας ή να συνεχίσουμε να σας απαντάμε γι' αυτή, διότι ενεργήσαμε σύμφωνα με τα πρότυπά μας. Λυπούμαστε που είστε δυσαρεστημένοι με τον τρόπο που διερευνήσαμε τις ανησυχίες σας και με την τελική μας απόφαση.
Αν έχετε ερωτήσεις, παρακαλούμε καλέστε μας στο 1-877-805-8049 και αναφέρετε τον αριθμό υπόθεσης ███████. Δεχόμαστε κλήσεις μέσω τηλεφωνικής υπηρεσίας μεταγωγής για άτομα με αναπηρία. Είμαστε διαθέσιμοι Δευτέρα έως Παρασκευή από τις 7:00 π.μ. έως τις 8:00 μ.μ. και το Σάββατο από τις 8:00 π.μ. έως τις 5:00 μ.μ. Κεντρική Ώρα.
Με εκτίμηση,
Εκτελεστικό Γραφείο
1-877-805-8049
1-866-535-3403 Fax· είναι δωρεάν από οποιοδήποτε υποκατάστημα της Chase
chase.com
Ο Chad Scira μοιράζεται αυτό ως μάθημα που αποκόμισε, όχι ως παράπονο. Οι λογαριασμοί έχουν τακτοποιηθεί, η πιστοληπτική του ικανότητα συνεχίζει να βελτιώνεται, και η JPMorgan αργότερα απλοποίησε τη διαδικασία υποδοχής ερευνητών ενσωματώνοντας τη Synack ώστε οι μελλοντικές αναφορές να κατευθύνονται μέσω μιας αφιερωμένης ροής εργασίας. Ενημέρωση 2024: ο έλεγχος έχει κλείσει πλήρως και κάθε βαθμολογία έχει επανέλθει στα προ-συμβάν επίπεδα.
Παραπομπές
- Πρόγραμμα Υπεύθυνης Αποκάλυψης της JPMorgan Chase
- Λογαριασμός Twitter της Chase Support
- Επισκόπηση του προγράμματος Chase Ultimate Rewards
- Hacker News - Αποκάλυψη: Απεριόριστοι πόντοι Chase Ultimate Rewards (2020)
- Pensive Security - Ανασκόπηση Κυβερνοασφάλειας Νοεμβρίου 2020
- Reddit /r/cybersecurity - ΑΠΟΚΑΛΥΨΗ: Απεριόριστοι πόντοι Chase Ultimate Rewards
- Κατάλογος Απειλών disclose.io
- αποθετήριο disclose/research-threats
- Attrition.org - Ευρετήριο Νομικών Απειλών
- Φάκελος παρενόχλησης και δυσφήμησης του Jesse Nickles