Usernames XS4ALL openbaar door beveiligingsfout

De internetprovider XS4ALL klaagde twee weken geleden de spammende firma Abfab aan. XS4ALL liet daarmee duidelijk merken dat de jacht op spammers geopend was. Uit een aantal postings op usenet blijkt nu dat de provider het spammers ook wel erg makkelijk maakt om aan e-mailadressen te komen. De postings laten zien hoe eenvoudig het is om een lijst met XS4ALL usernames te krijgen. de '/home' directory waarin alle users een plekje hebben, is voor andere XS4ALL gebruikers via hun shellaccount gewoon toegankelijk met een telnet- of sshclient. De provider heeft aangekondigd dat ze bij de overstap naar FreeBSD binnenkort de beveiliging ook wat zullen aanscherpen.

Abfab laat merken dat ze verbaasd zijn over de beschuldiging dat ze ongevraagde e-mail versturen:

'Ongevraagd hoeft niet ongewild te zijn, ' legt directeur Thijs Cobben uit. 'Bovendien houden wij ons aan de gangbare regels in de branche. Dit is een showproces.' Daar is mededirecteur Juliette Quaedvlieg het roerend mee eens. 'Het is helemaal niet in ons belang om email te versturen die mensen niet willen hebben. Xs4all kan beter naar zich zelf kijken. Het verbaast me niets dat ze klagen over spam: al hun gebruikers kunnen met één druk op de knop alle emailadressen van alle andere gebruikers tevoorschijn halen. Ze timmeren de voordeur dicht, terwijl ze de achterdeur wagenwijd laten open staan.'

Verwijderd wierp dit in onze submitqueue.

Reacties (98)

[arnob]

Ze timmeren de voordeur dicht, terwijl ze de achterdeur wagenwijd laten open staan

nette mensen gebruiken de voordeur bij vreemden

[lairnoc]

je hebt helemaal gelijk en dat'Ongevraagd hoeft niet ongewild te zijn, ' dat is helemaal fout met zo'n instelling.. komt over als de verkoper aan de deur met zijn voet ertussen...

Als je iets wilt dan ga je vanzelf zoeken. pfff...

[rickiii]

Dat ben ik niet met je eens. Ongevraagd kan wel degelijk gewild zijn. Er zijn vaak mensen die graag reclamefolders en aanbiedingen willen horen omdat het vaak geld kan schelen... deze mensen zien er nut in om reclame door te spitten naar iets leuks. Ook zul je soms (als je niet van gediend bent van reclame) iets zien waarvan je blij bent dat je het niet gemist hebt.

Echter, email adressen EN de telefoon (!!) missen helaas één optie die een postadres WEL heeft: De mogelijkheid om "Ongevraagde reclame" te weren.

Ik ben van mening dat er bureaus zijn waar je kunt aangeven dat je GEEN reclame wilt en dan ook kunt klagen wanneer je het wel ontvangt, zijn.... dan is het hele SPAM probleem opgelost.

[Verwijderd]

idd die reklame folders zijn simpel en effectief tegen te houden door zo'n aardige 'ja/nee' of 'nee/nee' sticker.

Digitaal unsubscriben heeft daarentegen geen enkele zin, zelfs niet bij zgn 'gecentraliseerde' instanties, simpelweg omdat daar tientallen, zo niet honderden, van zijn.

Er is maar een manier om die ongewenste reklame te stoppen: verbieden. of je internet account opzeggen natuurlijk (begin dat laatste langzaamaan een steeds aantrekkelijker optie te vinden )

[-edit: dit is overbodig dubbelpost - voortaan beter lezen /edit-]

[Devster]

Spammers vallen bij mij niet onder de categorie "Nette mensen"

[HielkeJ]

vertel mij wat
als je kijkt watvoor troep ik soms binnen krijg

[Verwijderd]

www.spamassassin.org :-)

Ik vind het tegenwoordig LEUK om spam te krijgen

[HanslH]

Voor de eenvoudige outlook gebruiker is deze tip tijdverspilling....? Ik lees allemaal buitenaardse installatie instructies dus zal wel Unix of zo zijn.

[Verwijderd]

Da's jouw keuze om Windows te gebruiken...volgens mij zijn er aardig wat UNIX gebruikers op Tweakers.net

[funkyduck]

dan heb ik hier een VOORDEUR voor je:

http://www.rendo.dekooi.nl/users.sql

Dit zijn pas echt een stelletje.. .... .... ...

[Verwijderd]

Domme opmerking mischien, maar toen ik vorig jaar met linux/lynx/telnet liep te klooien kon ik vanuit een terminal ook bij alle usernames van UUnet komen.
Ook Demon had eens een keer een foutje. Het stomme is dat toen ik een E-mailtje stuurde en het meteen onmogelijk werd en niemand liep te klagen.
Nu echter loopt iedereen te zeuren: lijkt de consumentenbond/hcc wel die loopt te zeuren over 13.5% prijsverhoging bij adsl, maar niets geeft om de 14% van enkele kabelboeren.



Hypocriet geneuzel

Btw, wat maakt het uit als die namen beschikbaar zijn; het is geen vrijbrief om al die mensen te spammen ( ik was er een van met mijn xs4all account ).

* 786562 jojo2k1

[nAFutro]

die zit, en met de euro is het ook allemaal ff een procentje of wat duurder geworden

[SambalBij]

Het feit dat je bij xs4all de gebruikersnamen van iedereen zo maar kunt opvragen is nog geen vrijbrief om al die gebruikers dan maar ongevraagd zooi te versturen.

Misschien moeten we maar eens gezamelijk die toko gaan platbellen/faxen/emailen weet ik veel wat, ze staan tenslotte in het telefoonboek...

Prutsers....

[Standeman]

In principe een heel aanlokkelijk idee.. het enigste probleem is dat je je verlaagd tot hun nivo.. en tja.. geen tweaker op de wereld die dat echt wilt natuurlijk.. (neem ik even voor het gemak aan, want ik ken jullie niet allemaal persoonlijk )

[Verwijderd]

Helemaal mee eens... "Ja maar edelachtbare, dat pistool lag daar gewoon, ik moest er dus gewoon mee schieten"

[off-topic]
Is dit nou een oproep tot een DoS aanval op abfab? Hmm, laat Planet.nl het maar niet horen

* 786562 Bugu[/off-topic]

[TheGhost]

hmm... niet errug slim van xs4all, nu dit bekend is is de kans groot dat veel xs4all abo's (zoniet allemaal) een hele berg spam kunnen krijgen....

ik zit niet bij xs4all gelukkig, maar ik hoop dat andere ISP's hier ook van leren en hun beveiligingen ook nog eens na lopen (liefst voordat ze actie ondernemen naar bedrijven als AbFab)

[RetepV]

Adreslijsten kun je overal krijgen, het enige domme van xs4all is dat ze hem gratis 'beschikbaar stellen'.

Ik bedoel: als een reclamebureau je e-mailadres wil hebben krijgen ze het toch wel. Kennelijk is een e-mail adres veel geld waard.

[blaatenator]

Dit was/is bij Planet.nl iets dergelijks ook het geval. Kon je gewoon door de directory die de directory's van de users bevatte bladeren.

[Verwijderd]

Ongevraagd is niet altijd ongewild, dat kan wel zo zijn, maar ik wil graag mezelf abonneren op mailings, en niet ongevraagd toegestuurd krijgen wat ik daarna weer (moeilijk) moet gaan afmelden.

Ik hoop dat Xs4all wint. Hopelijk dat het dan echt werkelijkheid wordt dat er geen ongevraagde reclame meer verstuurd mag worden.
Eerst abonneren, dan pas ontvangen moet het zijn, niet ontvangen totdat je vraagt of je die troep aub niet meer toegestuurd kan krijgen.

[Beaves]

Ik hoop dat Xs4all wint. Hopelijk dat het dan echt werkelijkheid wordt dat er geen ongevraagde reclame meer verstuurd mag worden.

Misschien is het dan verboden voor bedrijven in Nederland, waardoor bedrijven stoppen met spam, er zijn genoeg buitenlandse bedrijven die gewoon door zullen gaan met het versturen van spam, dus het probleem zal nooit helemaal verdwijnen.

Het blijft dus zaak om goed met je e-mail adressen om te gaan, en als je toch een keer noodgedwongen je adres moet achter laten, laat dan een Hotmail adres ofzo achter.

[Verwijderd]

Voor zover ik de lopende discussie in xs4all.general begrepen heb is deze reactie juist gepost door iemand die aan AdFab verbonden is.

Ik noem het trouwens geen beveiligingsfout als je /home kunt lezen hoor, maar zo'n spammer grijpt natuurlijk alles aan om de tegenstander in een kwaad daglicht te zetten. Zijn er trouwens wel spammers die op die manier email adressen harvesten?

[JoMr3]

Als spammers op deze manier aan hun addressen willen komen, moeten ze wel bij elke ISP een abonnement hebben. Volgens mij zien veel mensen hier over het hoofd dat slechts abonnees van XS4ALL toegang hebben tot een shell account op hun server.

[Verwijderd]

Tweakers maak het verschil!

Misschien een leuke slogan om tweakers te promoten.

[Verwijderd]

ik heb nog geen last gehad van spammers bij XS4ALL, terwijl ik toch al een aardig tijdje lid ben... bij mijn andere email providers is de verhouding spam/belangrijke mail per dag ong 10/1 bij mij, maar bij XS4ALL komt alleen maar mail binnen die ik wil hebben.

en het feit dat spammen niet mag, is natuurlijk geen excuus om zo'n beveiligings'fout' te laten zitten, als bij mij, bijv, de voordeur dichtzit laat je idd ook de achterdeur niet open, omdat je toch niet mag stelen. Er zullen altijd mensen zijn die misbruik maken van dit soort mogelijkheden.

[Verwijderd]

hihi, de naam zegt het zelf eh... XS4All... Acces4All

[Verwijderd]

XS4ALL had dit allang moeten beveiligen...
hoe je het went ook keert een provider moet zorgen dat de gegevens strikt persoonlijk zijn desnoods huren ze een programmeur in om een voor hun ontwikkeld beveiligings systeem te ontwerpen....

Gebruikers gegevens zijn (strikt persoonlijk) en vallen onder de privacy wet (ja die is aangepast met de komst van internet) net zoals het hacken van instanties of takken van de regering is dit strafbaar..

ze schenden hiermee je privacy ook al was het niet hun bedoeling...

[RetepV]

Bij KPN staan al jouw gegevens toch ook gewoon in een telefoonboek?

Wat is het verschil?

Het verschil is dat je op je bus een JA/NEE sticker kunt plakken en dat de postbezorger zich er aan houdt.

Reclamebureau's kunnen dat echter prima omzeilen door je direkt te adresseren en die adressen kunnen ze weer prima gratis uit het telefoonboek halen.

Wat is dus het verschil?

Het verschil is dat bij echte mail reclamebureau's veel geld kwijt zijn om die direkt geaddreseerde mailing de deur uit te doen. Op het internet zijn er daarentegen vrijwel geen kosten mee gemoeid.

Dus, via de KPN gaat geen enkel reclamebureau jou direkt zitten mailen, maar op het internet zijn ze gelijk losgeslagen omdat het amper wat kost.

[Verwijderd]

Moet tweakers.net er ook voorzorgen dat jouw gebruikersnaam niet meer zichtbaar is? de hele wereld kan nu zien hoe jij heet. Het enige verschil is dat bij een provider een username gekoppeld is aan een emailadres.

[sorted.bits]

tweakers.net geeft jou de optie om je email adres te verbergen, dat doet je provider niet... misschien het verschil ?

[Verwijderd]

Jawel hoor, bij xs4all krijg je standaard een aantal pop boxen, ik zou zeggen maak er eentje aan, kan via de zelfservice pagina's, geef 'm een andere naam dan je login en je bent gevrijwaard.

[ReLexEd]

Dem! Had dat nou ff stil gehouden....

Nou hebben ze geheid binnenkort ook een lijstje bij XS4ALL beschikbaar met de `Sub`-Popboxen die op een bepaalde account zijn aangemaakt.....

* 786562 ReLexEdMisschien toch maar weer gewoon op mŽn domainname de boel regelen, zoals toendertijd werd aangeraden via LockerGnome.
Als je de mazzel hebt en een eigen domeinnaam hebt, en daar emailaliasses op kunt aanmaken, dan geef je overal waar je je email achterlaat een uniek adres op... bijv. Je registreerd je op T.Net, en je eigen domein heet spamfree.com, dan gebruik je bij T.Net als email-adres [e-mail]

Dat truukje werkt hier schitterend, en als je ooit ergens niet door middel van een unsubscribe o.i.d van de mailing-list af kunt komen, dan hoef je alleen maar die ene alias door te linken naar een onbestaand adres, en je bent van je spam op die alias af...

OK, het is een enorme work-around, maarja, het werkt prima.....

[LuCarD]

Dat truukje werkt hier schitterend, en als je ooit ergens niet door middel van een unsubscribe o.i.d van de mailing-list af kunt komen, dan hoef je alleen maar die ene alias door te linken naar een onbestaand adres, en je bent van je spam op die alias af...

forwarden naar een niet bestaand adres??? Nah forwarden naar de provider of TLD van de spammer. Werkt veel prettiger..

[Verwijderd]

Een zeer dubieus argument inderdaad:
"U heeft uw deur open laten staan, dus u mag niet klagen dat wij uw spulletjes hebben meegenomen"

Als je een vuile rat bent die mensen lastig valt met troep waar niemand op zit te wachten (en ongevraagd is WEL ongewild...) wees dan gewoon fair en doe niet of het aan XS4ALL ligt; hoewel ze natuurlijk wel een beetje zuiniger met die e-mail adressen mogen omspringen.

[Verwijderd]

Je voorbeeld is niet correct. Abfab neemt niets mee, maar zorgt er alleen voor dat je een heleboel erbij krijgt. Het is dus: "U heeft uw deur open laten staan en dus hebben we uw huis maar volgestort met deze spullen waar u niet om gevraagds heb."

[mjtdevries]

Inderdaad. Een paar kuub koeiestront bv.

Hoe zouden die figuren bij abfab het vinden als ze dat thuis aantreffen? Ongevraagd is immers niet perse ongewild. We doen er wel een briefje bij hoe ze kunnen aangeven dat ze het in de toekomst niet meer willen ontvangen :-)

[Verwijderd]

Sorry, maar jouw voorbeeld is ook niet correct. Het gaat hier namelijk niet om de "deur" van de XS4ALL gebruikers, maar om de "deur" die XS4ALL zelf heeft open laten staan.

Dus Abfab neemt wel wat mee, namelijk een lijst met e-mail adressen.