In het nieuws

Lidmaatschap Ongehoord Nederland kost 1 cent door stevige site-blunder

Lidmaatschap Ongehoord Nederland kost 1 cent door stevige site-blunder

Inschrijfformulier Ongehoord Nederland zo lek als een mandje. /Ongehoord Nederland

Foto van 'Jelmer Visser'

2 DEC 2019

Omroep Ongehoord Nederland ging afgelopen week voortvarend van start met z'n ledenwerfcampagne. Het doel? 50.000 leden binnenhalen om aspirantomroep bij de NPO te worden.

Het initiatief kreeg na enkele dagen al 40.000 aanmeldingen binnen via het aanmeldformulier op de site. Toch rammelt de beveiliging van dit formulier aan alle kanten. Zo kwam Broadcast Magazine er al achter dat je met onzin-gegevens je lidmaatschap kon volbrengen.

Maar er blijkt nog meer mis te zijn: zo krijg je een lidnummer toegewezen voor de betaling is volbracht én is de site kinderlijk eenvoudig voor de gek te houden waardoor het mogelijk is om lid te worden voor slechts één cent.

Lidmaatschap Ongehoord Nederland kost 1 cent door stevige site-blunder

De site checkt niet of rijst een geboortedatum is.

Om de tuin geleid

Bij sites die betalingen incasseren is beveiliging vanzelfsprekend een essentieel onderdeel. Een belangrijk onderdeel hiervan luistert naar de zeer begrijpelijke jargonterm 'server side validation'. In normaal Nederlands: dit is een automatische check die normaliter standaard is ingebouwd bij websites om de juistheid van ingevoerde gegevens na te gaan.

Is er in het veld 'postcode' een geldige postcode ingevoerd? Staat er inderdaad een datum bij het veld waarin gevraagd wordt om de geboortedatum? Zulke dingen. Mocht er iets verkeerds zijn ingevoerd, dan krijgt de gebruiker normaliter een foutmelding. Tikfoutjes overkomen immers de besten dus zo'n check is behoorlijk van belang en vrij gebruikelijk.

Dit is zeker van belang bij een inschrijvingsprocedure die aan een aantal wettelijke spelregels moet voldoen. Het ledenbestand van een omroep moet bestaan uit minstens 50.000 natuurlijke personen die ook daadwerkelijk het minimumbedrag van 5,72 hebben betaald voor hun lidmaatschap. Hier gaat echter opnieuw iets mis.

Het lek werd ontdekt door de 19-jarige student Computer Science, Kas Tuin die zijn inschrijving afrekende met 1 cent. „Normaal vindt deze check plaats voor je op de knop 'bevestigen' drukt, als er dan verkeerde info is ingevoerd krijg je als gebruiker automatisch een seintje. Dit doet Ongehoord Nederland dus niet. Hierdoor 'gelooft' de site dus alles wat je hem vertelt,” legt hij uit.

Toen de student van de Radboud Universiteit hier achter kwam, nam hij de proef op de som. „Door een vrij eenvoudige code naar de site van Ongehoord Nederland te sturen, die de site dus ook niet checkt op de juistheid, zijn hele rare dingen mogelijk. Zo kan je niet bestaande mailadressen invoeren, een leeg formulier versturen én het bedrag dat je moet afrekenen naar eigen voorkeur kan aanpassen.”

Fluitje van een cent

Tuin kon hierdoor op kinderlijk eenvoudige wijze zijn inschrijving voltooien voor slechts één cent. En het bewijs legde hij vast op film. Dat het hem lukte, verbaast hem. „Ik denk niet dat ze een expert hebben ingehuurd voor deze Wordpress-site. Met Wordpress kan je vrij eenvoudig een omgeving bouwen die voorzien is van een veilige aanmeld- en betaalprocedure. Dit is een hele slechte implementatie."

Een site met een betere server side validation zou het verzoek om 1 cent te betalen direct weigeren. Maar bij Ongehoord Nederland kon Tuin gewoon zijn gang gaan. Hij werd zo officieel lid van de ambitieuze omroep.

Hoe erg is dit? Als een webwinkel een soortgelijke kwetsbaarheid zou hebben, dan kon iedereen een mandje volladen met spullen van duizenden euro’s om vervolgens bij het afrekenen slechts een cent te over te maken. De server registreert de betaling en vervolgens wordt de verzending automatisch in orde gemaakt.

Waarom we hier nooit iets over horen in het nieuws? Omdat server side validation juist hierom een topprioriteit bij bedrijven die met online betaalverkeer te maken hebben. Zelfs voor kleine webwinkeltjes is het een vanzelfsprekendheid.

Lidmaatschap Ongehoord Nederland kost 1 cent door stevige site-blunder

Door het ontbreken van een veiligheidscheck kan je zelf bepalen wat je wil betalen. /Kas Tuin

Goedkoop is duurkoop?

Hoogstwaarschijnlijk moet de oorzaak van de kwetsbaarheid gezocht worden bij de plug-in die is gebruikt voor het inschrijfformulier. Dit zou gaan om een zwakke en kosteloze versie die kinderlijk eenvoudig gemakkelijk om de tuin te leiden is en bovendien geen 'ik-ben-geen-robot'-check doet. Betrouwbare Wordpress-plug-in’s voor digitale inschrijfprocedures, voorzien van validatie-checks, kosten doorgaans enkele tientjes.

Kunnen er ook negatieve bedragen ingevuld worden? „Nee," benadrukt de computer science-student. „Zo'n negatieve betaling wordt geweigerd door iDeal omdat zij alleen maar overboekingen met een positief getal kunnen verwerken. Over deze fase van de transactie heeft de site van Ongehoord Nederland niet langer zeggenschap.”

De afrekening van het lidmaatschap werd volbracht via de betaaldienst Mollie. Dit is een veelgebruikte service die ervoor zorgt dat online bestellingen op een veilige gebruiksvriendelijke manier kunnen worden afgerekend via iDeal, PayPal of creditcard. Zij maken het geïncasseerde bedrag vervolgens over op de rekening van de aanbieder.

Mollie’s verdienmodel is gebaseerd op transactiekosten die in dit geval 29 cent bij elke transactie bedragen. Hierbij maakt niet uit of dit bedrag 1 of 1000 euro is. Maar wat gebeurt als het bedrag lager is dan 29 cent? Dan worden de kosten alsnog in rekening gebracht. Een inschrijving van één cent kost volgens hun algemene voorwaarden Ongehoord Nederland dus 28 cent.

Lidmaatschap Ongehoord Nederland kost 1 cent door stevige site-blunder

Het lidmaatschapnummer loopt bij elke aanmelding door maar de teller geeft een lager getal aan./ Ongehoord Nederland

Ongehoord laat zich horen

Deze bevindingen zijn voorgelegd aan journalist Arnold Karskens, initiatiefnemer van Ongehoord Nederland. „De site is gebouwd door een externe technische ploeg met ervaring op dit gebied. We zijn op de hoogte van de toewijzing van lidnummers bij onvoltooide transacties. Maar ons systeem en de teller op de site, tellen alleen de volbrachte betalingen mee. We houden bovendien een ruime marge aan van 10 tot 15 procent. Juist om rekening te houden met grappenmakers en foutjes. Je hebt altijd slimme jongens die zulke dingen proberen,” vertelt hij.

Dat de lidnummers doorlopen bij onvoltooide transacties, klopt inderdaad. De teller op de site geeft een lager getal (43.643) aan dan het toegewezen nummer van de onzin-aanmelding van dit artikel (58.583) op hetzelfde moment. Hiermee kan je concluderen dat er 14.940 voortijdig onderbroken, onzinnige of onbetaalde afmeldingen zijn gedaan: iets meer dan een kwart.

Een verklaring voor het naïeve inschrijfformulier dat het lidmaatschap van één cent goedkeurde kan Karskens niet geven. „Ik geef direct toe: ik ben een digibeet en ging er vanuit dat alles goed geregeld was. Dit moet ik echt aan de bouwers voorleggen voor ik hierop kan reageren. Maar ik wil je wel bedanken voor het aangeven.”

De initiatiefnemer houdt desondanks vertrouwen in een goede afloop. „Wij hebben tot dusver geen rare dingen gezien bij de betalingen. Dat is het belangrijkste. Door een ruime marge aan te houden halen we de 50.000 geldige aanmeldingen voor omroep Ongehoord Nederland denk ik wel. Tot nu toe gaat het erg goed, we hebben het erg druk mee. Dagelijks ontvangen we honderden telefoontjes en talloze e-mails.”


Verdachte moord Derk Wiersum heeft nieuwe advocaat

Verdachte moord Derk Wiersum heeft nieuwe advocaat

Advocaat Jacques Taekema op rechts Foto: ANP

Foto van 'Metro en ANP'

5 MIN

De man die ervan wordt verdacht de Amsterdamse advocaat Derk Wiersum te hebben doodgeschoten, heeft een nieuwe advocaat. 

Jacques Taekema neemt de verdediging van Giërmo B. over van Tjalling van der Goot „om redenen van persoonlijke aard." Woensdag staat er een nieuwe inleidende zitting over de moord op Wiersum gepland in de rechtbank in Amsterdam. Hierbij is vanwege de coronamaatregelen geen publiek aanwezig, ook verdachte B. en zijn advocaat Taekema zijn niet bij de zitting.

Ridouan T.


Rumag stopt met coronacollectie door 'karaktermoord' Lubach

Foto van 'Vincent Smit'

16 MIN

Het satirische internetbedrijf Rumag stopt met de verkoop van aan het coronavirus gerelateerde spullen. De 'coronacollectie' van het bedrijf ligt onder vuur nadat Arjen Lubach er in zijn talkshow zondagavond aandacht aan gaf. 

Rumag richt zich op social media op jongeren en plaatst voornamelijk satirische teksten. De teksten drukken ze ook op spullen zoals t-shirts, koffiemokken en deurmatten. In het item van Zondag met Lubach wordt Rumag beschuldigd van het plegen van plagiaat en geld te willen verdienen aan de coronacrisis. Op Instagram is het merk op maandagmiddag al ruim 20.000 volgers verloren.


Romantisch! Man versiert buurvrouw ondanks quarantaine

Romantisch! Man versiert buurvrouw ondanks quarantaine

Wanneer de twee elkaar écht kunnen aanraken is nog even afwachten | Foto: Pexels

Foto van 'Metro'

18 MIN

Wie zegt dat je in tijden van social distancing je ware liefde niet kunt ontmoeten? Of in elk geval een geliefde. De in New York woonachtige Jeremy Corby wist een date te scoren waarbij hij zich keurig aan de richtlijnen houdt.

Althans, dat is het verhaal dat hij op Twitter en TikTok deelt. Sommige verhalen zijn te mooi om te checken, we willen in dit geval maar al te graag geloven dat het waar is. Zelfs een gemiddelde Disney-film valt qua romantiek in het niet vergeleken bij het verhaal van fotograaf Jeremy.

Dag opfleuren


Coronavirus eist 93 levens, dodental op 864

Coronavirus eist 93 levens, dodental op 864

De afdeling spoedeisende hulp in het Amsterdam UMC, locatie AMC Foto: ANP

Foto van 'Metro en ANP'

22 MIN

Er zijn in de afgelopen 24 uur 93 nieuwe sterfgevallen door het coronavirus bij gekomen in Nederland. Dat meldt het RIVM.

Dit brengt het totale aantal doden door corona in ons land op 864. Het werkelijke aantal overledenen ligt hoger; sterfgevallen worden soms pas na een paar dagen doorgegeven. Daarbij komt dat lang niet iedere besmetting wordt vastgesteld door een test. Als iemand die niet is getest door het virus komt te overlijden, komt dat niet terug in de statistieken.

507 mensen opgenomen


WHO waarschuwt: drink niet bij coronastress

WHO waarschuwt: drink niet bij coronastress

Naar de fles grijpen wordt ten zeerste afgeraden. | Foto: Getty

Foto van 'Metro'

43 MIN

Door de uitbraak van COVID-19 zitten we massaal thuis. Niet naar buiten kunnen in combinatie met spanning door het virus en andere omstandigheden, kan voor stress zorgen.

De Wereldgezondheidsorganisatie (WHO) waarschuwt de mensheid in deze tijden vooral niet naar de fles te grijpen. De organisatie benadrukt dat alcohol drinken geen goede manier is om met stress rondom het virus en de lockdown om te gaan. Een flinke borrel kan enorme gevolgen hebben voor de mentale én fysieke gezondheid.

Verdovende middelen schuwen


'Maatregelen blijven waarschijnlijk ook na 6 april nog van kracht'

'Maatregelen blijven ook na 6 april van kracht'

Posters met maatregelen in een supermarkt van Jumbo. | Foto: ANP

Foto van 'Metro en ANP'

1 UUR

De maatregelen die momenteel in Nederland worden getroffen om de verspreiding van het coronavirus in te perken, zullen ook tot na 6 april van kracht blijven.

Dat bevestigen bronnen in Den Haag na berichtgeving van De Telegraaf. Dinsdag zal de crisiscommissie van het kabinet beslissen over het verlengen van de maatregelen. Onder die maatregelen vallen onder meer het zoveel mogelijk thuis blijven, het afstand houden van anderen, het vermijden van groepen en sociale activiteiten en het thuisblijven bij klachten.

Advies OMT


Telefoonstoring zorgt dat ziekenhuizen niet bereikbaar zijn

Telefoonstoring zorgt dat ziekenhuizen niet bereikbaar zijn

Door een telefoonstoring zijn veel ziekenhuizen niet bereikbaar | Foto: ANP

Foto van 'Metro en ANP'

1 UUR

Meerdere ziekenhuizen zijn slecht bereikbaar door een landelijke telefoonstoring. Op de website allestoringen.nl is te zien dat onder meer het Deventer Ziekenhuis problemen heeft.

„Er is een landelijke storing bij Ziggo, KPN en Vodafone. Met als gevolg dat het Deventer Ziekenhuis problemen heeft met inkomend en uitgaand bellen" meldt het ziekenhuis. Ook Antonius Zorggroep Sneek meldt slecht bereikbaar te zijn.

Oorzaak wordt gezocht


Indiase agent spreekt als 'coronavirus' mensen aan

Indiase agent spreekt als 'coronavirus' mensen aan

De kunstenaar maakte de helm met oude kranten / Foto: AFP

Foto van 'Vincent Smit'

2 UUR

Een agent en een kunstenaar in India hebben een creatieve oplossing gevonden om mensen bewust te maken van het coronavirus. Verkleed als het virus houdt de agent mensen staande bij kruispunten. 

De agent, Rajesh Buba, werkt in de miljoenenstad Madras in het zuiden van India. Hij spreekt mensen voornamelijk aan als hij ziet wanneer er geen mondkapjes gedragen worden. Hij zegt dan: „Als jij naar buiten gaat, kom ik bij je naar binnen”, daarmee doelend op het coronavirus.

Indiase agent spreekt als 'coronavirus' mensen aan

Foto: AFP


Likeability of6

Sudoku

Foto van 'Metro'

VANDAAG, 09:00

Speel hier elke dag gratis een uitdagende Sudoku, aangeboden door Denksport. De Sudoku werkt als volgt: vul het diagram zo in, dat in elk blok van 3x3 vakjes de getallen 1 tot en met 9 één keer voorkomen.


likelove
user_025c4c0ef950b5c1bb712ce3b6799df36b85ba8a_avataruser_2895189b950331c781bc37ce073361230ac0b69c_avataruser_e873a16bc9365ca54e429854a44c5ab39150346d_avatar

+3


Klassieke muziek populairder door coronacrisis

Klassieke muziek populairder door coronacrisis

We streamen minder muziek maar als we streamen, wint klassiek terrein | Foto: Getty

Foto van 'Ingelise de Vries'

2 UUR

Het is voor veel mensen inmiddels de derde week dat het thuiskantoor wordt bemand. Daardoor verandert er een hoop in de wereld. Zo wordt er onder andere een stuk minder gestreamd.

Maar, als we streamen, streamen we veel vaker klassieke muziek dan voorheen. Nederlanders streamen 10 procent meer deuntjes van Mozart, Bach en Dvořák. Landen waar het COVID-19 virus harder toeslaat, streamen zelfs nog meer klassieke muziek. In Frankrijk is het met veertig procent toegenomen, in Spanje met 20 procent en de Engelsen streamen 15 procent meer klassiek werk.

Minder streamen en downloaden


Olieprijs onder druk, hoe komt dat?

Olieprijs onder druk, hoe komt dat?

Een basisbegrip in de economie is dat de prijs van grondstoffen afhankelijk is van vraag en aanbod.

Foto van ''

2 UUR

Heerst er momenteel al een coronacrisis, komt hier bovenop ook nog een oliecrisis. 9 maart 2020 is een behoorlijk zwarte dag voor de olieprijs geworden, want toen daalde de olieprijs met maar liefst 30 procent. En nu?

De daling is al jaren niet gezien op de oliemarkt. Vanwaar deze sterke daling en hoe wordt de prijs van olie bepaald?

Olie en de wereldeconomie


Lief! Nederlands dierenpark verwelkomt nieuwe cheetahs

Lief! Nederlands dierenpark verwelkomt nieuwe cheetahs

Een nieuw cheetahgezin woont sinds een paar dagen in Nederland | Foto: ZooParc Overloon

Foto van 'Metro'

3 UUR

Nederland heeft sinds kort een paar nieuwe inwoners. ZooParc in Overloon verwelkomde namelijk vijf nieuwe cheetahs in het park.

De vijf roofdieren zijn pas een paar dagen in het Brabantse park en komen uit Frankrijk. Het gaat om moeder Asali en haar vier kinderen. In een persbericht meldt het park dat de dieren na een korte wenperiode nu ook het buitenverblijf mogen verkennen.

Geschikte ruimte in Brabant


Deze week nog koud, volgende week weer lentetemperaturen

Deze week nog koud, volgende week weer lentetemperaturen

Het blijft deze week nog even koud maar volgende week wordt het weer lente! | Foto: Pexels

Foto van 'Metro en ANP'

VANDAAG, 10:29

Het mag dan inmiddels alweer lente zijn, dat maart zijn staart roert moge duidelijk zijn. Waar we vorige week op hypothetische terrasjes konden zitten, vroor het vannacht ineens flink.

In Hupsel (Achterhoek) heeft het KNMI in de nacht van zondag op maandag -6,6 graden gemeten. Daarmee was het de koudste nacht in Nederland meer dan een jaar tijd, meldt Weeronline. Vorig jaar werd op 31 januari -9 graden gemeten in het Groningse Nieuw-Beerta.

Matig vriezen


Geen EasyJet-vluchten meer voor onbepaalde tijd

Geen EasyJet-vluchten meer voor onbepaalde tijd

EasyJet houdt de vloot voorlopig aan de grond | Foto: ANP

Foto van 'Metro en ANP'

VANDAAG, 09:49

Mocht je de hoop hebben binnenkort met easyJet toch naar een ander deel van de wereld vliegen, dan zal dat toch even moeten wachten. De Britse prijsvechter staakt namelijk per direct alle vluchten.

De luchtvaartonderneming noemt als reden de ongekende reisbeperkingen die door landen zijn opgelegd in reactie op het coronavirus en de invoering van lockdowns in veel Europese landen. EasyJet blijft naar eigen zeggen samenwerken met overheden om op hun verzoek reddingsvluchten uit te voeren.

Geen nieuwe vliegdata


Besmettingen China neemt af, piek doden in VS over twee weken

Besmettingen China neemt af, piek doden in VS over twee weken

President Trump tijdens zijn toespraak | Foto: ANP

Foto van 'Metro en ANP'

VANDAAG, 08:54

De Amerikaanse president Donald Trump verwacht de piek in het aantal dagelijkse doden in de VS als gevolg van het coronavirus over twee weken.

De regels voor het behouden van „sociale afstand" tot elkaar blijven van kracht tot 30 april. Dat heeft de president zondag (lokale tijd) bekendgemaakt tijdens een persconferentie in het Witte Huis.

Richtlijnen van kracht


Video's president Brazilië verwijderd door Twitter

Video's president Brazilië verwijderd door Twitter

De Braziliaanse president handelt volgens Twitter in strijd met de richtlijnen | Foto: ANP

Foto van 'Metro en ANP'

VANDAAG, 08:34

De Braziliaanse president Jair Bolsonaro heeft twee video's op Twitter gezet die door het medium weer zijn verwijderd. Bolsonaro overtreedt volgens het bedrijf de richtlijnen.

Het staatshoofd uit in de filmpjes zijn twijfels over nut en noodzaak van quarantainemaatregelen in de strijd tegen verdere verspreiding van het coronavirus.

In strijd met instructies


Bedrijf levert beademingsapparatuur, Defensie houdt achter

Bedrijf levert beademingsapparatuur, Defensie houdt achter

Er moet op korte termijn beademingsapparatuur komen | Foto: ANP

Foto van 'Metro en ANP'

VANDAAG, 07:59

Defensie beschikt over cruciale beademingsapparatuur die nodig is om extra mobiele intensive care units (MICU’s) mee uit te rusten, en houdt deze achter.

De MICU’s zijn nodig om ernstig zieke patiënten over de nog beschikbare ic-bedden te verdelen. Dat blijkt uit onderzoek van Follow the Money.

Niet beschikbaar


Bijna duizend coronapatiënten op intensive care

Bijna duizend coronapatiënten op intensive care

Het Rijksinstituut voor Volksgezondheid en Milieu (RIVM) heeft een somberder scenario naar voren moeten halen over het aantal coronapatiënten dat op de ic terechtkomt. | Foto: ANP

Foto van 'Metro en ANP'

GISTEREN

Het aantal coronapatiënten op de intensive care (ic) -afdelingen van Nederlandse ziekenhuizen nadert de duizend. Dat blijkt zondagavond uit cijfers van de stichting Nationale Intensive Care Evaluatie (NICE).

Rond 22.00 uur werd daar gemeld dat er 982 patiënten met het coronavirus op de ic liggen. Gegevens bij NICE kunnen achterlopen op de werkelijkheid, bijvoorbeeld door drukte in de ziekenhuizen, meldt de organisatie op haar site.

Somberder scenario


Britse bokskampioen wekt afschuw en boosheid met video

Britse bokskampioen wekt afschuw en boosheid met video

Nadat er veel boze reacties op het filmpje kwamen, betuigde Billy Joe Saunders (rechts) snel spijt. | Foto: ANP

Foto van 'Metro en ANP'

GISTEREN

De Britse profbokser Billy Joe Saunders heeft zijn excuses aangeboden voor een video waarin hij oproept korte metten te maken met vrouwen die tijdens thuisisolatie hun man ‘lastigvallen’.

In het filmpje plaatst de wereldkampioen in het super middengewicht (WBO-versie) een aantal stoten op een bokszak in zijn schuur. Daarna doet hij een aantal uitspraken die veel boosheid en afschuw op social media opriepen.

„Dit is de manier om je vrouw de mond te snoeren”, zegt de bokser in het filmpje. „Als ze binnenkomt en ze wil je iets vertellen, dan explodeer je ineens en bam, op de kin. Daarmee schakel je haar uit.”