In het nieuws

Lidmaatschap Ongehoord Nederland kost 1 cent door stevige site-blunder

Lidmaatschap Ongehoord Nederland kost 1 cent door stevige site-blunder

Inschrijfformulier Ongehoord Nederland zo lek als een mandje. /Ongehoord Nederland

Foto van 'Jelmer Visser'

2 DEC 2019

Omroep Ongehoord Nederland ging afgelopen week voortvarend van start met z'n ledenwerfcampagne. Het doel? 50.000 leden binnenhalen om aspirantomroep bij de NPO te worden.

Het initiatief kreeg na enkele dagen al 40.000 aanmeldingen binnen via het aanmeldformulier op de site. Toch rammelt de beveiliging van dit formulier aan alle kanten. Zo kwam Broadcast Magazine er al achter dat je met onzin-gegevens je lidmaatschap kon volbrengen.

Maar er blijkt nog meer mis te zijn: zo krijg je een lidnummer toegewezen voor de betaling is volbracht én is de site kinderlijk eenvoudig voor de gek te houden waardoor het mogelijk is om lid te worden voor slechts één cent.

Lidmaatschap Ongehoord Nederland kost 1 cent door stevige site-blunder

De site checkt niet of rijst een geboortedatum is.

Om de tuin geleid

Bij sites die betalingen incasseren is beveiliging vanzelfsprekend een essentieel onderdeel. Een belangrijk onderdeel hiervan luistert naar de zeer begrijpelijke jargonterm 'server side validation'. In normaal Nederlands: dit is een automatische check die normaliter standaard is ingebouwd bij websites om de juistheid van ingevoerde gegevens na te gaan.

Is er in het veld 'postcode' een geldige postcode ingevoerd? Staat er inderdaad een datum bij het veld waarin gevraagd wordt om de geboortedatum? Zulke dingen. Mocht er iets verkeerds zijn ingevoerd, dan krijgt de gebruiker normaliter een foutmelding. Tikfoutjes overkomen immers de besten dus zo'n check is behoorlijk van belang en vrij gebruikelijk.

Dit is zeker van belang bij een inschrijvingsprocedure die aan een aantal wettelijke spelregels moet voldoen. Het ledenbestand van een omroep moet bestaan uit minstens 50.000 natuurlijke personen die ook daadwerkelijk het minimumbedrag van 5,72 hebben betaald voor hun lidmaatschap. Hier gaat echter opnieuw iets mis.

Het lek werd ontdekt door de 19-jarige student Computer Science, Kas Tuin die zijn inschrijving afrekende met 1 cent. „Normaal vindt deze check plaats voor je op de knop 'bevestigen' drukt, als er dan verkeerde info is ingevoerd krijg je als gebruiker automatisch een seintje. Dit doet Ongehoord Nederland dus niet. Hierdoor 'gelooft' de site dus alles wat je hem vertelt,” legt hij uit.

Toen de student van de Radboud Universiteit hier achter kwam, nam hij de proef op de som. „Door een vrij eenvoudige code naar de site van Ongehoord Nederland te sturen, die de site dus ook niet checkt op de juistheid, zijn hele rare dingen mogelijk. Zo kan je niet bestaande mailadressen invoeren, een leeg formulier versturen én het bedrag dat je moet afrekenen naar eigen voorkeur kan aanpassen.”

Fluitje van een cent

Tuin kon hierdoor op kinderlijk eenvoudige wijze zijn inschrijving voltooien voor slechts één cent. En het bewijs legde hij vast op film. Dat het hem lukte, verbaast hem. „Ik denk niet dat ze een expert hebben ingehuurd voor deze Wordpress-site. Met Wordpress kan je vrij eenvoudig een omgeving bouwen die voorzien is van een veilige aanmeld- en betaalprocedure. Dit is een hele slechte implementatie."

Een site met een betere server side validation zou het verzoek om 1 cent te betalen direct weigeren. Maar bij Ongehoord Nederland kon Tuin gewoon zijn gang gaan. Hij werd zo officieel lid van de ambitieuze omroep.

Hoe erg is dit? Als een webwinkel een soortgelijke kwetsbaarheid zou hebben, dan kon iedereen een mandje volladen met spullen van duizenden euro’s om vervolgens bij het afrekenen slechts een cent te over te maken. De server registreert de betaling en vervolgens wordt de verzending automatisch in orde gemaakt.

Waarom we hier nooit iets over horen in het nieuws? Omdat server side validation juist hierom een topprioriteit bij bedrijven die met online betaalverkeer te maken hebben. Zelfs voor kleine webwinkeltjes is het een vanzelfsprekendheid.

Lidmaatschap Ongehoord Nederland kost 1 cent door stevige site-blunder

Door het ontbreken van een veiligheidscheck kan je zelf bepalen wat je wil betalen. /Kas Tuin

Goedkoop is duurkoop?

Hoogstwaarschijnlijk moet de oorzaak van de kwetsbaarheid gezocht worden bij de plug-in die is gebruikt voor het inschrijfformulier. Dit zou gaan om een zwakke en kosteloze versie die kinderlijk eenvoudig gemakkelijk om de tuin te leiden is en bovendien geen 'ik-ben-geen-robot'-check doet. Betrouwbare Wordpress-plug-in’s voor digitale inschrijfprocedures, voorzien van validatie-checks, kosten doorgaans enkele tientjes.

Kunnen er ook negatieve bedragen ingevuld worden? „Nee," benadrukt de computer science-student. „Zo'n negatieve betaling wordt geweigerd door iDeal omdat zij alleen maar overboekingen met een positief getal kunnen verwerken. Over deze fase van de transactie heeft de site van Ongehoord Nederland niet langer zeggenschap.”

De afrekening van het lidmaatschap werd volbracht via de betaaldienst Mollie. Dit is een veelgebruikte service die ervoor zorgt dat online bestellingen op een veilige gebruiksvriendelijke manier kunnen worden afgerekend via iDeal, PayPal of creditcard. Zij maken het geïncasseerde bedrag vervolgens over op de rekening van de aanbieder.

Mollie’s verdienmodel is gebaseerd op transactiekosten die in dit geval 29 cent bij elke transactie bedragen. Hierbij maakt niet uit of dit bedrag 1 of 1000 euro is. Maar wat gebeurt als het bedrag lager is dan 29 cent? Dan worden de kosten alsnog in rekening gebracht. Een inschrijving van één cent kost volgens hun algemene voorwaarden Ongehoord Nederland dus 28 cent.

Lidmaatschap Ongehoord Nederland kost 1 cent door stevige site-blunder

Het lidmaatschapnummer loopt bij elke aanmelding door maar de teller geeft een lager getal aan./ Ongehoord Nederland

Ongehoord laat zich horen

Deze bevindingen zijn voorgelegd aan journalist Arnold Karskens, initiatiefnemer van Ongehoord Nederland. „De site is gebouwd door een externe technische ploeg met ervaring op dit gebied. We zijn op de hoogte van de toewijzing van lidnummers bij onvoltooide transacties. Maar ons systeem en de teller op de site, tellen alleen de volbrachte betalingen mee. We houden bovendien een ruime marge aan van 10 tot 15 procent. Juist om rekening te houden met grappenmakers en foutjes. Je hebt altijd slimme jongens die zulke dingen proberen,” vertelt hij.

Dat de lidnummers doorlopen bij onvoltooide transacties, klopt inderdaad. De teller op de site geeft een lager getal (43.643) aan dan het toegewezen nummer van de onzin-aanmelding van dit artikel (58.583) op hetzelfde moment. Hiermee kan je concluderen dat er 14.940 voortijdig onderbroken, onzinnige of onbetaalde afmeldingen zijn gedaan: iets meer dan een kwart.

Een verklaring voor het naïeve inschrijfformulier dat het lidmaatschap van één cent goedkeurde kan Karskens niet geven. „Ik geef direct toe: ik ben een digibeet en ging er vanuit dat alles goed geregeld was. Dit moet ik echt aan de bouwers voorleggen voor ik hierop kan reageren. Maar ik wil je wel bedanken voor het aangeven.”

De initiatiefnemer houdt desondanks vertrouwen in een goede afloop. „Wij hebben tot dusver geen rare dingen gezien bij de betalingen. Dat is het belangrijkste. Door een ruime marge aan te houden halen we de 50.000 geldige aanmeldingen voor omroep Ongehoord Nederland denk ik wel. Tot nu toe gaat het erg goed, we hebben het erg druk mee. Dagelijks ontvangen we honderden telefoontjes en talloze e-mails.”


Man moet op woedebeheersingscursus na lekprikken anti-Trump-ballon

Man moet op woedebeheersingscursus na lekprikken Trump-ballon

De ballon/ANP

Foto van 'Kasper Hermans'

GISTEREN

Een Amerikaan moet naar een cursus om zijn woede te beheersen. Dit alles omdat hij afgelopen nummer een grote 'baby-trump-ballon' lekprikte.

De rechter heeft bepaald dat als hij de cursus succesvol tot een einde weet te brengen hij geen verdere straf krijgt opgelegd. Dat staat los van de 3.500 dollar vergoeding die hij moet betalen aan de leverancier van de ballon.

Alabama


GGD adviseert evenementen Zuid-Limburg te schrappen

Amsterdamse kinderopvang zeker twee weken dicht om coronavirus

In Zuid-Limburg wordt aangeraden evenementen af te lasten / ANP

Foto van 'Metro en ANP'

GISTEREN

De GGD Zuid Limburg heeft de gemeenten langs de Duitse grens gevraagd om alle publieksevenementen komend weekeinde af te gelasten.

Het gaat onder meer om uitgestelde carnavalsoptochten. Die waren eerder verschoven vanwege storm, met name afgelopen zondag.

Persconferentie Halsema


Brand in station Parijs na protesten Congolese demonstranten/ANP

Brand in station Parijs na protesten Congolese demonstranten

Volgens de politie staken Congolese demonstranten scooters en vuilnisbakken in brand/ANP

Foto van 'Metro en ANP'

GISTEREN

Een deel van het treinstation Gare de Lyon in Parijs is vrijdag ontruimd vanwege een grote brand. Dat heeft de Franse politie bekend gemaakt.

Volgens de politie staken Congolese demonstranten scooters en vuilnisbakken in brand. Zij zijn het niets eens met een optreden van de Congolese artiest Fally Ipupa. De zanger, die vrijdagavond een optreden geeft in Parijs, zou het regime in Congo steunen.

Beelden


Brit zesde coronadode van cruiseschip Diamond Princess

Brit zesde coronadode van Japans cruiseschip, 21 doden in Italië

The Diamond Princess/ANP

Foto van 'Metro en ANP'

GISTEREN

Een Britse man die aan boord was van het cruiseschip Diamond Princess is overleden aan het coronavirus, meldde het Japanse persagentschap Kyodo vrijdag. Hij is de eerste Brit die is overleden aan het virus.

Het schip lag aangemeerd in Yokohama in Japan. Zo'n zevenhonderd opvarenden raakten besmet met corona. De Brit is de zesde dode onder de passagiers van het schip. Het schip had zo'n 3700 mensen aan boord, onder wie vijf Nederlanders. Die zijn inmiddels ook naar huis.

De Diamond Princess ligt sinds begin februari in een Japanse haven. De autoriteiten plaatsten het schip onder quarantaine vanwege de virusuitbraak. Passagiers die het virus niet hebben, mochten het schip na de quarantaineperiode verlaten.


Verhoogde concentratie lood in water op 17 Amsterdamse scholen

Verhoogde concentratie lood in water op 17 Amsterdamse scholen

Bij zeventien Amsterdamse scholen en honderden woningen in de stad is een verhoogde concentratie lood in het water aangetroffen/ANP

Foto van 'Metro en ANP'

GISTEREN

Het drinkwater in Nederland staat bekend als een van de beste ter wereld. Toch blijken er nu problemen te zijn in Amsterdam, waar er lood in het water zit.

Bij zeventien Amsterdamse scholen en honderden woningen in de stad is een verhoogde concentratie lood in het water aangetroffen, schrijft wethouder Laurens Ivens (Wonen) aan de gemeenteraad. Concentraties van meer dan 5 microgram lood per liter water wijzen op de aanwezigheid van loden leidingen die vervangen moeten worden.

Een op de negen


Veenendaal gekroond tot de fietsstad van Nederland

Veenendaal gekroond tot de fietsstad van Nederland

„De fietspaden zijn breed, fietsers voelen zich veilig en parkeerplekken zijn goed geregeld."/ANP

Foto van 'Metro en ANP'

GISTEREN

Internationaal mag men dan denken dat Amsterdam fietshoofdstad van de wereld - en dus ook Nederland - is, maar de Fietsbond is aan andere mening toegedaan. Veenendaal is gekozen tot Nederlands beste fietsstad van 2020.

In en rond de plaats bij de Utrechtse Heuvelrug en de Gelderse Vallei „is het lekker en ontspannen fietsen". „De fietspaden zijn breed, fietsers voelen zich veilig en parkeerplekken zijn goed geregeld", aldus directeur Saskia Kluit van de Fietsersbond.

Snel, veilig, gezond en duurzaam


Man krijgt taakstraf voor het in brand zetten van konijn
Likeability of3

Man krijgt taakstraf voor het in brand zetten van konijn

De opgelopen verwondingen die Anne had, bleken te zwaar om nog te herstellen en dus overleed ze als gevolg van de brand/ANP

Foto van 'Kasper Hermans'

GISTEREN

Een man die afgelopen jaar in de nacht van 18 op 19 augustus een konijn stal en in de fik stak is door de rechtbank veroordeeld tot een taakstraf. Daarnaast moet hij verplicht behandeld worden door reclassering.

De man heeft een taakstraf van tachtig uur opgelegd gekregen, daarvan zijn er dertig voorwaardelijk. Dit is minder dan er door de officier van justitie geëist werd. Die wilde de man voor dertig dagen (waarvan negentien voorwaardelijk) vastzetten.

Gestolen cadeau


sad
user_007cbecd5bde995ed0d8cee5cce0f362a09d1cc0_avatar

Corona bezorgt beurzen slechtste week sinds financiële crisis

Corona bezorgt beurzen slechtste week sinds financiële crisis

Er vallen negatieve records te noteren. Zo verloor de Amerikaanse Dow Jones nooit eerder zoveel punten op één dag als afgelopen donderdag/ANP

Foto van 'Kasper Hermans'

GISTEREN

Het coronavirus heeft niet alleen op de gezondheid van velen mensen invloed, maar ook op de beurs. Als gevolg van het virus slaan de meters wereldwijd rood uit.

Volgens de BBC kregen de beurzen verspreid over heel de aardbol de afgelopen week hun slechtste sinds 2008 te verwerken. Destijds zat de economie middenin de financiële crisis met nog grotere verliezen.

Negatieve records


Likeability of6

Sudoku

Foto van 'Metro'

GISTEREN

Speel hier elke dag gratis een uitdagende Sudoku, aangeboden door Denksport. De Sudoku werkt als volgt: vul het diagram zo in, dat in elk blok van 3x3 vakjes de getallen 1 tot en met 9 één keer voorkomen.


likelove
user_025c4c0ef950b5c1bb712ce3b6799df36b85ba8a_avataruser_2895189b950331c781bc37ce073361230ac0b69c_avataruser_e873a16bc9365ca54e429854a44c5ab39150346d_avatar

+3


Politie deelt beelden van man die geslachtsdeel toont in trein

Politie deelt beelden van man die geslachtsdeel toont in trein

Foto: ANP

Foto van 'Metro'

GISTEREN

De politie in Amsterdam heeft beelden gedeeld van een jongen die een vrouw in de trein zijn geslachtsdeel heeft laten zien. 

Het voorval vond plaats op 8 december 2019. Zowel dader als slachtoffer stapte op station Amsterdam Zuid op de trein naar Utrecht.

De jongen zou in eerste instantie erg dichtbij de vrouw zijn gaan zitten, waardoor zij zich al gauw ongemakkelijk voelde. Ze probeerde hem te negeren, maar toen ze later toch zijn kant op keek, had hij zijn geslachtsdeel in zijn hand.


Opa bekent schuld na val kleindochter op cruiseschip
Likeability of3

Opa bekent schuld na val kleindochter op cruiseschip

Beeld ter illustratie / Pexels

Foto van 'Metro'

GISTEREN

De man die zijn kleindochter per ongeluk van een cruiseschip liet vallen, heeft de schuld op zich genomen. Hij was in de veronderstelling dat er glas tussen zijn kleindochter en het water zat.

Het meisje van een jaar oud was met haar opa op de elfde verdieping van een cruiseschip toen hij haar in een raam neerzette. De man dacht dat er glas tussen zat, maar dat bleek niet het geval. Het meisje viel naar beneden, een val die haar fataal werd.

Schuld bekend


sad
user_f9f4c06216ea4b998552fadce06c9d81b4cf96ca_avatar

Proces MH17 gaat door met meer hygiëne om corona

Proces MH17 gaat door met meer hygiëne om corona

Het proces in de beveiligde rechtbank op Schiphol gaat door / ANP

Foto van 'Metro en ANP'

GISTEREN

Het strafproces over het neerhalen van vlucht MH17 in 2014 begint over een week volgens planning, ondanks de eerste besmettingen in Nederland met het coronavirus.

Er worden wel extra hygiënische maatregelen getroffen rond het monsterproces, waarvoor ruim vierhonderd journalisten uit meer dan twintig landen zich hebben aangemeld. Bij het proces worden ook 65 internationale waarnemers verwacht om de procesgang in de gaten te houden.

Ontsmettingsmiddel


Tweede persoon met coronavirus in Nederland

Vrouw met coronavirus werkt in Amsterdam UMC

In Tilburg en Diemen zijn mensen besmet met her coronavirus / ANP

Foto van 'Metro'

GISTEREN

Het tweede Nederlandse slachtoffer van het coronavirus, een vrouw uit Amsterdam, is werkzaam in Amsterdam UMC, locatie AMC. Dat blijkt uit een interne mail van het ziekenhuis.

De vrouw, die vorige week in de Italiaanse regio Lombardije was, had lichte verschijnselen. Ze werd in het AMC getest en bleek besmet met het coronavirus. Ze werkt in het ziekenhuis, maar niet met patiënten.

De vrouw zit in thuisisolatie in Diemen, maar dat is niet in haar eigen woning, heeft minister Bruins bekendgemaakt. De GGD in Amsterdam onderzoekt met wie de vrouw contact heeft gehad. Ze had geen contact met de man uit Loon op Zand die besmet is.


Om: Hou mogelijke bendeleden Taghi vast

OM: Houd mogelijke bendeleden Taghi vast

Zware bewaking tijdens het proces / ANP

Foto van 'Metro en ANP'

GISTEREN

Het Openbaar Ministerie heeft er vrijdag bij de rechtbank op aangedrongen alle verdachten in het proces Marengo, omtrent de vermeende liquidatiebende van Ridouan Taghi, in voorarrest te houden.

Het OM deed dat in reactie op verzoeken van advocaten van een aantal verdachten, die vinden dat hun cliënten hun proces in vrijheid moeten kunnen afwachten. Meerdere verdachten zitten al zo'n twee jaar vast.

Megaproces


Airbnb helpt gemeenten rondom illegale verhuur

Foto van 'Metro en ANP'

GISTEREN

Zomaar je huis verhuren via Airbnb is er niet meer bij. De website gaat gemeenten namelijk helpen om illegale verhuur en overlast tegen te gaan.

Zo worden onder meer advertenties van verhuurders zonder registratienummer verwijderd. Dat heeft medeoprichter van Airbnb Nathan Blecharczyk bekendgemaakt. Gemeenten kunnen zo beter handhaven op illegale verhuur en overlast.

Airbnb kondigt ook aan dat er een overlastmeldlijn komt, dat in alle gemeenten toeristenbelasting gaat worden betaald en dat het data gaat delen met gemeenten.


ProRail wil passagierstreinen in GreenDeal EU

ProRail wil passagierstreinen in GreenDeal EU

ProRail wil passagierstreinen in GreenDeal EU/ ANP

Foto van 'Metro en ANP'

GISTEREN

ProRail vraagt de Europese Unie om te investeren in het Europese spoornetwerk en reizigerstreinen op te nemen in de Green Deal, de plannen van klimaat-eurocommissaris Frans Timmermans. Goederentreinen zijn al opgenomen in de klimaatplannen van de EU.

Als reizigers binnen Europa vaker voor de trein kiezen in plaats van voor het vliegtuig, bespaart dat volgens ProRail 2 tot 8 miljoen ton CO2-uitstoot per jaar. „Inzet op een goed functionerend Europees spoornetwerk kan een substantiële bijdrage leveren aan het klimaatbeleid", aldus een woordvoerder van ProRail.

Beter samenwerken


Auto zonder bestuurder slaat over kop bij Barneveld

Auto 'zonder bestuurder' slaat over kop bij Barneveld

De passagier beweerde echt niet de bestuurder te zijn / Pexels

Foto van 'Metro'

GISTEREN

Een ongeluk in de buurt van Barneveld vannacht is op z'n minst curieus te noemen. De auto die over de kop sloeg, had namelijk geen bestuurder aan boord.

Hulpdiensten werden vannacht opgeroepen om een auto die van de weg was geraakt in de plaats De Valk. De wagen was over de kop geslagen, meldt het Barnevelds Dagblad. Op de plek van het ongeluk troffen de hulpdiensten echter alleen iemand aan in de passagiersstoel.

Niet de bestuurder


Rustig in gemeente waar coronaviruspatiënt woont

Rustiger in gemeente waar coronaviruspatiënt woont

In Loon op Zand komen mensen vandaag minder op straat / ANP

Foto van 'Metro en ANP'

GISTEREN

In het Brabantse Loon op Zand is het vrijdagochtend rustig op straat. Het is de plaats waar de 56-jarige man woont die besmet is met het coronavirus.

De man ligt op dit moment in het ziekenhuis in Tilburg, waar hij in quarantaine is.

Terughoudend


Coronavirus in steeds meer Europese landen

Coronavirus in steeds meer Europese landen

Coronavirus in steeds meer Europese landen / ANP

Foto van 'Metro en ANP'

GISTEREN

In verschillende delen van de wereld worden nieuwe meldingen gemaakt van het coronavirus. Onder andere in Nieuw-Zeeland, Litouwen, Nigeria en Wit-Rusland maakten gevallen bekend.

Het eerste geval in Nieuw-Zeeland is een persoon van in de 60 die eerder in Iran was, zei het ministerie van Volksgezondheid vrijdag. De patiënt wordt behandeld in een ziekenhuis in Auckland. Het is onduidelijk of het om een man of vrouw gaat.

Ook in Nederland werd het virus vastgesteld: een man uit Loon op Zand ligt in quarantaine in een Tilburgs ziekenhuis omdat hij het virus heeft.