In het nieuws

Lidmaatschap Ongehoord Nederland kost 1 cent door stevige site-blunder

Lidmaatschap Ongehoord Nederland kost 1 cent door stevige site-blunder

Inschrijfformulier Ongehoord Nederland zo lek als een mandje. /Ongehoord Nederland

Foto van 'Jelmer Visser'

2 DEC 2019

Omroep Ongehoord Nederland ging afgelopen week voortvarend van start met z'n ledenwerfcampagne. Het doel? 50.000 leden binnenhalen om aspirantomroep bij de NPO te worden.

Het initiatief kreeg na enkele dagen al 40.000 aanmeldingen binnen via het aanmeldformulier op de site. Toch rammelt de beveiliging van dit formulier aan alle kanten. Zo kwam Broadcast Magazine er al achter dat je met onzin-gegevens je lidmaatschap kon volbrengen.

Maar er blijkt nog meer mis te zijn: zo krijg je een lidnummer toegewezen voor de betaling is volbracht én is de site kinderlijk eenvoudig voor de gek te houden waardoor het mogelijk is om lid te worden voor slechts één cent.

Lidmaatschap Ongehoord Nederland kost 1 cent door stevige site-blunder

De site checkt niet of rijst een geboortedatum is.

Om de tuin geleid

Bij sites die betalingen incasseren is beveiliging vanzelfsprekend een essentieel onderdeel. Een belangrijk onderdeel hiervan luistert naar de zeer begrijpelijke jargonterm 'server side validation'. In normaal Nederlands: dit is een automatische check die normaliter standaard is ingebouwd bij websites om de juistheid van ingevoerde gegevens na te gaan.

Is er in het veld 'postcode' een geldige postcode ingevoerd? Staat er inderdaad een datum bij het veld waarin gevraagd wordt om de geboortedatum? Zulke dingen. Mocht er iets verkeerds zijn ingevoerd, dan krijgt de gebruiker normaliter een foutmelding. Tikfoutjes overkomen immers de besten dus zo'n check is behoorlijk van belang en vrij gebruikelijk.

Dit is zeker van belang bij een inschrijvingsprocedure die aan een aantal wettelijke spelregels moet voldoen. Het ledenbestand van een omroep moet bestaan uit minstens 50.000 natuurlijke personen die ook daadwerkelijk het minimumbedrag van 5,72 hebben betaald voor hun lidmaatschap. Hier gaat echter opnieuw iets mis.

Het lek werd ontdekt door de 19-jarige student Computer Science, Kas Tuin die zijn inschrijving afrekende met 1 cent. „Normaal vindt deze check plaats voor je op de knop 'bevestigen' drukt, als er dan verkeerde info is ingevoerd krijg je als gebruiker automatisch een seintje. Dit doet Ongehoord Nederland dus niet. Hierdoor 'gelooft' de site dus alles wat je hem vertelt,” legt hij uit.

Toen de student van de Radboud Universiteit hier achter kwam, nam hij de proef op de som. „Door een vrij eenvoudige code naar de site van Ongehoord Nederland te sturen, die de site dus ook niet checkt op de juistheid, zijn hele rare dingen mogelijk. Zo kan je niet bestaande mailadressen invoeren, een leeg formulier versturen én het bedrag dat je moet afrekenen naar eigen voorkeur kan aanpassen.”

Fluitje van een cent

Tuin kon hierdoor op kinderlijk eenvoudige wijze zijn inschrijving voltooien voor slechts één cent. En het bewijs legde hij vast op film. Dat het hem lukte, verbaast hem. „Ik denk niet dat ze een expert hebben ingehuurd voor deze Wordpress-site. Met Wordpress kan je vrij eenvoudig een omgeving bouwen die voorzien is van een veilige aanmeld- en betaalprocedure. Dit is een hele slechte implementatie."

Een site met een betere server side validation zou het verzoek om 1 cent te betalen direct weigeren. Maar bij Ongehoord Nederland kon Tuin gewoon zijn gang gaan. Hij werd zo officieel lid van de ambitieuze omroep.

Hoe erg is dit? Als een webwinkel een soortgelijke kwetsbaarheid zou hebben, dan kon iedereen een mandje volladen met spullen van duizenden euro’s om vervolgens bij het afrekenen slechts een cent te over te maken. De server registreert de betaling en vervolgens wordt de verzending automatisch in orde gemaakt.

Waarom we hier nooit iets over horen in het nieuws? Omdat server side validation juist hierom een topprioriteit bij bedrijven die met online betaalverkeer te maken hebben. Zelfs voor kleine webwinkeltjes is het een vanzelfsprekendheid.

Lidmaatschap Ongehoord Nederland kost 1 cent door stevige site-blunder

Door het ontbreken van een veiligheidscheck kan je zelf bepalen wat je wil betalen. /Kas Tuin

Goedkoop is duurkoop?

Hoogstwaarschijnlijk moet de oorzaak van de kwetsbaarheid gezocht worden bij de plug-in die is gebruikt voor het inschrijfformulier. Dit zou gaan om een zwakke en kosteloze versie die kinderlijk eenvoudig gemakkelijk om de tuin te leiden is en bovendien geen 'ik-ben-geen-robot'-check doet. Betrouwbare Wordpress-plug-in’s voor digitale inschrijfprocedures, voorzien van validatie-checks, kosten doorgaans enkele tientjes.

Kunnen er ook negatieve bedragen ingevuld worden? „Nee," benadrukt de computer science-student. „Zo'n negatieve betaling wordt geweigerd door iDeal omdat zij alleen maar overboekingen met een positief getal kunnen verwerken. Over deze fase van de transactie heeft de site van Ongehoord Nederland niet langer zeggenschap.”

De afrekening van het lidmaatschap werd volbracht via de betaaldienst Mollie. Dit is een veelgebruikte service die ervoor zorgt dat online bestellingen op een veilige gebruiksvriendelijke manier kunnen worden afgerekend via iDeal, PayPal of creditcard. Zij maken het geïncasseerde bedrag vervolgens over op de rekening van de aanbieder.

Mollie’s verdienmodel is gebaseerd op transactiekosten die in dit geval 29 cent bij elke transactie bedragen. Hierbij maakt niet uit of dit bedrag 1 of 1000 euro is. Maar wat gebeurt als het bedrag lager is dan 29 cent? Dan worden de kosten alsnog in rekening gebracht. Een inschrijving van één cent kost volgens hun algemene voorwaarden Ongehoord Nederland dus 28 cent.

Lidmaatschap Ongehoord Nederland kost 1 cent door stevige site-blunder

Het lidmaatschapnummer loopt bij elke aanmelding door maar de teller geeft een lager getal aan./ Ongehoord Nederland

Ongehoord laat zich horen

Deze bevindingen zijn voorgelegd aan journalist Arnold Karskens, initiatiefnemer van Ongehoord Nederland. „De site is gebouwd door een externe technische ploeg met ervaring op dit gebied. We zijn op de hoogte van de toewijzing van lidnummers bij onvoltooide transacties. Maar ons systeem en de teller op de site, tellen alleen de volbrachte betalingen mee. We houden bovendien een ruime marge aan van 10 tot 15 procent. Juist om rekening te houden met grappenmakers en foutjes. Je hebt altijd slimme jongens die zulke dingen proberen,” vertelt hij.

Dat de lidnummers doorlopen bij onvoltooide transacties, klopt inderdaad. De teller op de site geeft een lager getal (43.643) aan dan het toegewezen nummer van de onzin-aanmelding van dit artikel (58.583) op hetzelfde moment. Hiermee kan je concluderen dat er 14.940 voortijdig onderbroken, onzinnige of onbetaalde afmeldingen zijn gedaan: iets meer dan een kwart.

Een verklaring voor het naïeve inschrijfformulier dat het lidmaatschap van één cent goedkeurde kan Karskens niet geven. „Ik geef direct toe: ik ben een digibeet en ging er vanuit dat alles goed geregeld was. Dit moet ik echt aan de bouwers voorleggen voor ik hierop kan reageren. Maar ik wil je wel bedanken voor het aangeven.”

De initiatiefnemer houdt desondanks vertrouwen in een goede afloop. „Wij hebben tot dusver geen rare dingen gezien bij de betalingen. Dat is het belangrijkste. Door een ruime marge aan te houden halen we de 50.000 geldige aanmeldingen voor omroep Ongehoord Nederland denk ik wel. Tot nu toe gaat het erg goed, we hebben het erg druk mee. Dagelijks ontvangen we honderden telefoontjes en talloze e-mails.”


Twitter start samenwerking met Stichting 113 Zelfmoordpreventie

Twitter start samenwerking met Stichting 113 Zelfmoordpreventie

Dit moet het eenvoudiger maken om hulp te vinden voor mensen die dit nodig hebben. /ANP

Foto van 'Metro'

48 MIN

Twitter start een samenwerking met Stichting 113 Zelfmoordpreventie om geestelijke gezondheidszorg in Nederland te ondersteunen. Dit moet het eenvoudiger maken om online hulpmiddelen te vinden voor mensen die hulp nodig hebben. 

Zoek je vanaf nu op Twitter naar termen die een link hebben met zelfmoord of zelfverwonding? Dan krijg je als eerste zoekresultaat een aansporing om hulp te zoeken. Deze melding bevat de contactgegevens van Stichting 113 Zelfmoordpreventie. Dit is een hulplijn waar mensen terecht kunnen voor ondersteuning.

Benodigde ondersteuning


ING gaat 150 servicepunten in winkels sluiten

ING gaat 150 servicepunten in winkels sluiten

Waar het servicepunt verdwijnt, komt op de meeste plekken een geldautomaat. /ANP

Foto van 'Metro en ANP'

1 UUR

ING gaat het aantal servicepunten volgend jaar sterk verminderen. Van de 380 punten, sluiten er 150 in winkels als Bruna en Primera. 

Waar het servicepunt verdwijnt, komt op de meeste plekken een geldautomaat.

Nieuwe formule


Zo maak je de mooiste foto’s in het donker
Likeability of5

Zo maak je de mooiste foto’s in het donker

Het Amsterdam Light Festival. / ANP

In samenwerking met Huawei

GISTEREN

Heb jij een passie voor fotografie? Geef je dan op voor de fotografieworkshop van Huawei op dinsdag 10 december (17.00 – 19.00 uur).

Waar? Je gaat mee op een luxe boot in Amsterdam, met heerlijke hapjes en drankjes vaar je langs de lichtkunstwerken van het Amsterdam Light Festival!

Hoe? Met het Huawei smartphone leer je van een expert de mooiste foto’s in het donker te maken. Handig, als jij juist tijdens de donkere feestdagen toch de meest bijzondere pics wilt maken. Je krijgt eerst een workshop en daarna mag je de opgedane kennis zelf uitproberen door objecten van het Amsterdam Light Festival te fotograferen. Zo stap je de luxe boot af met de mooiste content!


like
user_8aac6f37190987eeec9a0c0e200b1b8994fc4c15_avatar

Sluiten we 2019 af met Bohemian Rhapsody? Top 2000 zaterdag bekend

Sluiten we 2019 af met Bohemian Rhapsody? Top 2000 zaterdag bekend

Jan-Willem Roodbeen mag op Eerste Kerstdag aftrappen om 08.00 uur met de nummer 2000. /ANP

Foto van 'Metro en ANP'

1 UUR

Sluiten we het jaar wederom af met de welbekende 'Bohemian Rhapsody'? Of wordt het een ander nummer? Aan het einde van de middag wordt het bekendgemaakt. 

Het top 2000 Café opent zaterdag de deuren voor de onthulling van de hoogst genoteerde platen in de top 2000 van dit jaar. NPO Radio 2 maakt tijdens de eerste radio-uitzending van dit jaar vanuit het café bekend of we 31 december voor de zeventiende keer afsluiten met Queens 'Bohemian Rhapsody'.

Stemfinaledag


Win! Jimmy Choo Urban Hero eau de parfum van 100 ml

Win! Jimmy Choo Urban Hero eau de parfum van 100 ml

In samenwerking met Jimmy Choo

5 DEC 2019

Wil je als man met een lekker geurtje de feestdagen in? Of wil je je man of vriend juist verrassen met een heerlijke parfum?

Jimmy Choo en Metro geven 5 flesjes met de nieuwste geur van Jimmy Choo weg. Speciaal voor de feestdagen natuurlijk! Je kunt tot en met woensdag 11 december meedoen en maakt zo kans op deze uiterst gebalanceerde mannengeur.


Hoera! Prinses Amalia wordt vandaag 16 jaar
Likeability of5

Hoera! Prinses Amalia is vandaag 16 jaar

Foto van prinses Amalia ter ere van haar verjaardag. /Rijksvoorlichtingsdienst - Z.M. de Koning

Foto van 'Metro'

2 UUR

Kroonprinses Amalia is zaterdag jarig en mag zestien kaarsjes uitblazen. Reden voor een mooi feestje dus. 

Ter gelegenheid van haar zestiende verjaardag heeft koning Willem-Alexander een foto van zijn oudste dochter gemaakt. De Rijksvoorlichtingsdienst bracht de nieuwe foto zaterdag naar buiten waarop prinses Amalia te zien is in de achtertuin van Paleis Huis ten Bosch in Den Haag. Daar is het gezin dit jaar heen verhuisd.

Geen groot feest


likedislike
user_ea6f18687d4bcd126a7b2feadee879b472a171a8_avataruser_007cbecd5bde995ed0d8cee5cce0f362a09d1cc0_avatar

Wat is private lease en waarom is het interessant voor mij?
Likeability of3

Wat is private lease en waarom is het interessant voor mij?

Foto van 'Metro'

GISTEREN

Een eigen auto aanschaffen betekent twee dingen: je moet het aankoopbedrag kunnen veroorloven en incidentele, mogelijk hoge onderhoudskosten kunnen opbrengen. Bij private lease gaat het helemaal anders.

In deze tijd waarin steeds meer mensen als zelfstandige aan het werk zijn, kunnen dit soort zaken een obstakel vormen in de keuze om een auto te nemen. Dit terwijl men wel met zekerheid kan zeggen dat het inkomen kan voorzien in een dergelijke vaste kostenpost. Hier is tegenwoordig een interessante oplossing voor: private lease. Maar wat is private lease nu precies?

Niet veel spaargeld nodig


dislike
user_ea54b30544394f14d8c1bd9b380c7cf0ff182d02_avatar

Deel Eerste Kamer meer tijd nodig voor stikstofwet
Likeability of3

Deel Eerste Kamer meer tijd nodig voor stikstofwet

Minister Carola Schouten tijdens een gesprek over de spoedwet voor de aanpak van de stikstofproblematiek. /ANP

Foto van 'Metro en ANP'

GISTEREN

Een deel van de Eerste Kamer zegt meer tijd nodig te hebben om zich goed te kunnen buigen over de spoedwet van het kabinet over het stikstofprobleem.

Ingewijden bevestigen na berichtgeving door de NOS dat vooral de oppositie zegt meer tijd nodig te hebben.

Gezichtsverlies


dislike
user_ea54b30544394f14d8c1bd9b380c7cf0ff182d02_avatar

Likeability of6

Sudoku van de dag

Foto van 'Metro'

5 DEC 2019

Speel hier elke dag gratis een uitdagende Sudoku, aangeboden door Denksport. De Sudoku werkt als volgt: vul het diagram zo in, dat in elk blok van 3x3 vakjes de getallen 1 tot en met 9 één keer voorkomen.


likelove
user_025c4c0ef950b5c1bb712ce3b6799df36b85ba8a_avataruser_2895189b950331c781bc37ce073361230ac0b69c_avataruser_e873a16bc9365ca54e429854a44c5ab39150346d_avatar

+3


Facebook in beroep over neppe bitcoinreclames

Facebook in beroep over neppe bitcoinreclames

Ook moest Facebook aan De Mol vertellen wie er achter de advertenties zitten. /ANP

Foto van 'Metro en ANP'

GISTEREN

Facebook gaat in beroep tegen een vonnis over nepadvertenties voor bitcoinproducten. Het platform kreeg van een rechter in Amsterdam de opdracht om zulke reclames te weren wanneer mediatycoon John de Mol erin voorkomt.

Ook moest Facebook aan hem vertellen wie er achter de advertenties zitten.

Nepreclames


Merkel: schaamte voor gruweldaden in Auschwitz
Likeability of3

Merkel: schaamte voor gruweldaden in Auschwitz

Bondskanselier Angela Merkel voor de ingang van concentratiekamp Birkenau. /AFP

Foto van 'Metro en ANP'

GISTEREN

De Duitse bondskanselier Angela Merkel zei vrijdag in een toespraak in het concentratiekamp Auschwitz-Birkenau zich te schamen voor de gruweldaden die de nazi's daar tijdens de Tweede Wereldoorlog hebben begaan.

De misdaden overschrijden volgens Merkel alle grenzen. „Ik schaam mij diep. Het moet duidelijk zijn dat Duitsland als dader als enige verantwoordelijk is voor de misdaden. Dat zijn wij verschuldigd aan de slachtoffers. De verantwoordelijkheid voor de daden is onderdeel van de nationale identiteit", aldus Merkel.

De derde keer


sad
user_007cbecd5bde995ed0d8cee5cce0f362a09d1cc0_avatar

Gespannen Duindorp wacht op Remkes.

Gespannen Duindorp wacht op Remkes

Gespannen Duindorp wacht op Remkes. /ANP

Foto van 'Metro en ANP'

GISTEREN

Richard de Mos, voorman van Groep de Mos/Hart voor Den Haag loopt vrijdagochtend door een druilerig en koud Duindorp.

Hij heeft veel steun in de wijk waar onruststokers de afgelopen week vernielingen aanrichtten na het besluit van interim-burgemeester Johan Remkes dat de vreugdevuren dit jaar niet doorgaan, omdat de vergunningen niet rondkwamen. De wijk houdt de adem in; niemand weet hoe het vanaf nu verder moet en gaat tot na de jaarwisseling.

Niet maar een fikkie


 Steeds meer Nederlanders overleven hartinfarct.

Steeds meer Nederlanders overleven hartinfarct

Steeds meer Nederlanders overleven hartinfarct. /ANP

Foto van 'Metro en ANP'

GISTEREN

Een hartinfarct loopt steeds minder vaak fataal af. Volgens cijfers die de Hartstichting heeft gepubliceerd, is de sterfte door acute hartinfarcten sinds 1980 bij mannen met 89 procent gedaald en bij vrouwen met 86 procent.

Dat is volgens de stichting vooral te danken aan snellere hulpverlening en verbeterde behandelingen, zoals dotteren. Volgens CBS-cijfers overlijdt wel nog steeds ongeveer een op de vier mensen aan hart- en vaatziekten.

Bloeddruk meten


Rotterdam stelt kaarten songfestival beschikbaar aan deel inwoners

Rotterdam stelt kaarten songfestival beschikbaar aan deel inwoners

Stadsgezicht van Rotterdam na de bekendmaking van de gaststad van het Songfestival 2020. /ANP

Foto van 'Metro en ANP'

GISTEREN

De gemeente Rotterdam stelt 8500 kaarten voor het Eurovisiesongfestival beschikbaar aan inwoners met een smalle beurs.

Zij kunnen van 11 december tot en met 7 januari meedoen aan een actie waarbij ze tickets voor de repetitie- en finaleshows kunnen winnen.

Voor het eerst


Greta Thunberg arriveert in Madrid.

Greta Thunberg 'sluipt' Madrid binnen

Greta Thunberg arriveert in Madrid. /EPA

Foto van 'Metro en ANP'

GISTEREN

De Zweedse klimaatactivist Greta Thunberg arriveerde vrijdag per trein in Madrid. „Ik wist vanochtend Madrid binnen te sluipen. Ik denk niet dat iemand me zag", grapte de tiener op Twitter.

Op Twitter deelde ze een filmpje van de horde cameramensen die op haar neerdaalde bij het verlaten van de trein in het hoofdstedelijke station Chamartín. Thunberg doet vrijdag mee aan protesten in de Spaanse hoofdstad. Daar wordt een grote internationale klimaattop gehouden.


Songfestival: nog maar de vraag wie er naar Duncan

Songfestival: nog maar de vraag wie er naar Duncan

Duncan Laurence tijdens zijn show op Pinkpop. /ANP - Marcel van Hoorn

Foto van 'Tim van der Steen'

GISTEREN

Donderdag om 12.00 uur start de kaartverkoop voor het Eurovisie Songfestival. Voor die-hard fans bereikt de spanning daarmee nu al het kookpunt, want kaartjes zijn schaars en razend populair.

Met de verlossende douze pointes afgelopen jaar was het voor Mees (14) uit Bergen op Zoom direct duidelijk; als het liedjesfestijn in de Lage Landen neerdaalt, moet hij erbij zijn. Al het verdiende geld van zijn krantenwijk verdween in de spaarpot. Nu heeft de organisatie ook de meeste prijzen bekend gemaakt. „Die vielen mij alles mee, ik had eerder vierhonderd euro verwacht.”

Lachend waard


Likeability of5

Nederlanders gaan vaakst naar tandarts (gebitjes nemen wel sterk af)

Nederlanders gaan vaak naar de tandarts, de gebitjes nemen sterk af / GettyImages

Foto van 'Iris Hermans'

GISTEREN

Nederlanders gaan het meest naar de tandarts van alle Europeanen. Logisch ook wel, „dat komt van vroeger toen we nog heel braaf luisterden naar de dominee, dokter en tandarts.”

Een Nederlander gaat gemiddeld 2, 8 keer per jaar naar de tandarts, een Spanjaard 1,4 en een Cyprioot laat zich slechts 0, 1 keer per twaalf maanden in zijn mond kijken, blijkt uit cijfers van Eurostat. Enorme onderlinge verschillen, maar echt als een verrassing komt dit niet voor Nederlandse tandartsen.

Twee keer per jaar


like
user_ea54b30544394f14d8c1bd9b380c7cf0ff182d02_avatar

Een tijger gevangengenomen in Sumatra.

Tijger doodt koffieboer in Indonesië

Een tijger gevangengenomen in Sumatra. /EPA

Foto van 'Metro en ANP'

GISTEREN

Een tijger heeft een koffieboer gedood op het Indonesische eiland Sumatra bij de stad Pagar Alam. Het lichaam van de boer werd gevonden op zijn plantage. Niet ver daarvandaan is een tijger gezien.

De man was al een aantal dagen niet thuisgekomen, maar zijn familie ging er in eerste instantie vanuit dat hij in zijn hut op de koffieplantage verbleef. Uiteindelijk begonnen ze zich toch zorgen te maken en schakelden ze de politie in.

Vijf mensen aangevallen


Jonge mysteryshopper gaat sigaretten kopen.

Jonge mysteryshopper gaat sigaretten kopen

Jonge mysteryshopper gaat sigaretten kopen. /ANP

Foto van 'Metro en ANP'

GISTEREN

De Nederlandse Voedsel- en Warenautoriteit (NVWA) gaat 17-jarige jongeren inzetten als testkopers van rookwaren.

Zij gaan proberen bij supermarkten, tankstations, tabaksspeciaalzaken, horecabedrijven en kleinere verkooppunten (kiosken, belwinkels en avondwinkels) tabaksproducten te kopen.

Boete