Mantan jurnalis Gizmodo mengganti namanya menjadi 'Slackbot' dan tidak terdeteksi selama berbulan-bulan

• Tom McKay dari IT Brew, saat meninggalkan Gizmodo pada 2022, menyamarkan akun Slack miliknya seperti Slackbot dan menghindari penghapusan selama berbulan-bulan
• Slack memang memblokir nama “Slackbot” yang sudah digunakan, tetapi McKay melewati batasan nama tampilan dengan karakter Unicode yang tampak mirip
• Ia juga mengganti foto profil menjadi versi marah yang mirip ikon Slackbot asli, sehingga admin tidak menyadari adanya Slackbot duplikat dengan perbedaan pada alisnya
• Selama akunnya masih ada, McKay bisa mengirim pesan yang tampak seperti bot kepada rekan kerja, seperti “Slackbot fact of the day”
• Tergantung perusahaannya, mungkin ada langkah keamanan untuk mencegah lelucon seperti ini, sehingga penertiban akun mantan karyawan dan verifikasi nama tampilan menjadi penting

---

Akun Slack yang masih ada setelah resign

• Tom McKay dari IT Brew menyamarkan akun Slack miliknya seperti Slackbot setelah meninggalkan Gizmodo
• McKay membagikan screenshot saat itu di X, dan juga mengonfirmasi kepada The Verge bahwa lelucon ini benar-benar terjadi
• Akun yang disamarkan itu tidak terdeteksi atau dihapus oleh manajemen Gizmodo selama berbulan-bulan

Cara membuatnya terlihat seperti Slackbot

• Slackbot adalah bot yang akrab di Slack, membantu notifikasi, pengecekan kata sandi Wi-Fi kantor, pemberitahuan mention di channel yang belum diikuti, dan sebagainya
• Saat resign, McKay mengganti foto profil lamanya dengan gambar versi marah yang mirip ikon Slackbot asli
• Ia juga mencoba mengganti nama tampilan menjadi “Slackbot”, tetapi Slack tidak mengizinkan perubahan biasa karena nama itu sudah digunakan
• Sebagai gantinya, ia memakai karakter Unicode yang mirip huruf untuk melewati batasan nama
  • Contoh: mengganti “o” dengan karakter Unicode “о” yang tampak mirip

Hal yang bisa dilakukan selama berbulan-bulan

• Berkat perubahan ini, akun Slack aktif milik McKay terhindar dari penghapusan selama berbulan-bulan
• Selama akunnya masih ada, ia bisa mengirim pesan yang tampak seperti bot kepada rekan kerja
  • Contoh: “Slackbot fact of the day: Hi, I’m Slackbot! That’s a fact. Have a Slack-ly day!”
• Victoria Song, yang pernah bekerja di Gizmodo, bereaksi bahwa situasi ini tidak mengejutkan

Kemungkinan pertahanan di tiap perusahaan

• Tidak semua perusahaan akan tertipu dengan cara yang sama, dan sebagian perusahaan memiliki langkah keamanan untuk mencegah situasi semacam ini
• Manajemen Gizmodo mungkin mengira akun McKay sudah dihapus
• Atau mereka mungkin tidak melihat cukup detail untuk menemukan Slackbot duplikat dengan alis yang mencurigakan

[GN⁺]

Pendapat Hacker News

• Seorang mantan karyawan yang dulu saya kenal pernah membuat profil provisioning dial-up/ISDN bernama Ringing di modul pengontrol rak modem. Kalau dibuat di server Radius, itu terlalu kentara, jadi ia menghindarinya
  Kalau melihat halaman status rak modem, di antara pengguna yang sedang tersambung terlihat satu status Ringing seperti panggilan telepon yang belum diangkat, dan ia memakai layanan ISDN 128Kbit selama lebih dari setahun tanpa ketahuan sama sekali
  Tentu saja saya tidak menyarankan melakukan hal seperti ini. Terutama sekarang, karena CFAA kadang ditafsirkan sampai mencakup mengubah parameter URL atau menjentikkan upil ke karpet

  • Saya penasaran apakah ada dasar terkait CFAA itu. Justru perubahan parameter URL tampaknya kemungkinan besar bukan masalah
    Berdasarkan hukum New Jersey, agar seseorang dinyatakan bersalah atas “akses tanpa izin atau akses yang melampaui kewenangan”, pemerintah harus membuktikan bahwa orang itu melewati penghalang berbasis kode atau kata sandi; dalam kasus tersebut, intinya ia hanya mengakses sebagian layar login yang terbuka untuk publik dan mengikis informasi yang tanpa sengaja dipublikasikan AT&T
    https://law.justia.com/cases/federal/appellate-courts/ca3/13...
  • Ini sedikit mengingatkan saya pada waktu dua saudara bermain co-op melawan komputer di LAN game Warcraft II, lalu saya mengganti nama saya menjadi Computer dan diam-diam ikut masuk
  • Di tempat kerja lama, saya pernah diam-diam menunggu selama beberapa bulan agar akun saya dihapus dari Slack. Hampir setahun kemudian pun saya masih punya hak akses penuh ke cukup banyak kanal internal, dan itu benar-benar aneh
    Orang-orangnya memang akrab, tetapi itu bukan karena mereka sengaja membiarkannya sebagai bentuk kebaikan; melainkan karena pengelolaan akun Slack dan integrasi Google Office mereka berantakan
  • Saya tidak tahu apa cerita di balik CFAA dan upil itu. Dicari pun saya tidak menemukan referensinya

• Saya teringat satu hari gemilang sekitar 2016 di sebuah perusahaan konsultansi, ketika kami menemukan bahwa kami bisa mengubah nama Slack satu sama lain. Pada suatu waktu, nama semua orang hanya dad

  • Kedengarannya sangat mirip ketika anak-anak menyadari bahwa nama dan foto profil Netflix/Disney+ bisa diubah oleh siapa saja
  • Bagus juga, tapi saya akan tetap berpegang pada grandad. Kalau tidak, saya akan melepas cucu-cucu perempuan saya, dan mereka itu tanpa ampun
  • Apakah ini masih bisa dilakukan?
    Tim frisbee universitas saya memakai Slack

• Banyak yang menyarankan cara untuk mencegah perubahan nama, tetapi itu tidak sepenuhnya menyelesaikan masalah. Bisa saja ada orang di suatu tempat yang nama aslinya Jira
  Di $company tempat saya dulu bekerja, dashboard pelanggan ditempatkan pada https://*.$company.com berbasis wildcard. Misalnya seperti https://foo.$company.com
  Namun jika seseorang memilih slug dashboard yang bertabrakan dengan record nyata seperti www atau blog, dashboard itu menjadi sama sekali tidak bisa diakses. Pengaturan untuk mengubah prefiks pun ada di https://$dashboard.$company.com, jadi pelanggan tidak bisa memperbaikinya sendiri dan perlu tim dukungan. Tentu saja tool dukungan juga tidak mengekspos fitur untuk mengubah langsung prefiks $dashboard
  Cara membuat daftar blokir juga bukan hal sepele. Perlu mencakup entri DNS yang sudah ada, prefiks $dashboard yang sudah ada, kata-kata kasar, simbol Unicode, prefiks xn-- milik Punycode, pengalihan dari prefiks lama, hingga reservasi untuk mencegah perebutan di masa depan
  Tidak mengherankan Slack punya celah seperti ini. Pada dasarnya ini masalah yang sulit

  • Zendesk menaruh dashboard pelanggan sebagai subdomain langsung dari domain utamanya sendiri. Mereka juga mengizinkan domain khusus, dan untuk memakainya harus dibuat sebagai CNAME yang mengarah ke subdomain yang diberikan Zendesk
    https://support.zendesk.com/hc/en-us/articles/4408838571930-...
    Menurut saya, untuk subdomain halaman pelanggan, lebih baik minimal ditempatkan di domain terpisah, seperti GitHub atau Shopify. GitHub memakai GitHub.com sebagai domainnya sendiri dan GitHub.io sebagai domain halaman pengguna, sementara Shopify juga memisahkan Shopify.com dan myshopify.com
    Keuntungan domain terpisah untuk pelanggan adalah lebih sedikit bertabrakan dengan subdomain lama maupun masa depan yang ingin dipakai langsung oleh perusahaan, dan domain itu bisa dimasukkan ke Public Suffix List untuk menghindari masalah potensial. Meski begitu, kata-kata yang menghina atau menyesatkan tetap harus difilter
    https://publicsuffix.org/
  • Di tempat kerja pasangan saya benar-benar ada karyawan bernama Admin. Tim IT kebingungan bagaimana harus menanganinya
  • Apakah di sini kita benar-benar mau membela Slack? o dan о termasuk salah satu serangan karakter homograf yang paling mudah dilakukan
    https://en.wikipedia.org/wiki/IDN_homograph_attack
    Ceritanya, saat keluar dari perusahaan, McKay mengganti foto profilnya agar tampak seperti ikon Slackbot yang lebih marah dan mengganti namanya menjadi Slackbot; Slack memblokir nama Slackbot karena sudah dipakai, tetapi ketika o diganti dengan karakter Unicode о, itu berhasil
    Pasangan huruf Inggris/Kiril ini sudah digunakan dalam salah satu serangan glif homograf awal yang dipublikasikan pada 2001
    https://web.archive.org/web/20200102175251/http://www.cs.tec...
    Pada 2022, Slack bernilai sekitar 20 miliar dolar dan sudah beroperasi hampir 10 tahun. Selain itu, ini adalah perangkat lunak berbasis nama pengguna yang menyasar organisasi dan perusahaan yang membutuhkan keamanan
  • Batasi karakter yang bisa digunakan, lalu sebelum mengizinkan perubahan, periksa apa adanya apakah halaman tersebut sudah di-resolve. Dengan begitu pelanggan tidak terkunci dan sulit juga menyamar sebagai target lain lewat karakter
    Jika ingin mengizinkan beberapa simbol, gunakan daftar yang diizinkan, atau periksa apakah nama pengguna memiliki jarak Levenshtein yang cukup dari nama inti seperti slackbot lalu larang atau tandai untuk diperiksa manusia
    Memblokir semuanya memang sulit secara fundamental, tetapi memblokir masalah-masalah terbesar tidaklah sulit
  • Dalam kasus ini, “pastikan namespace yang pada dasarnya berbeda tidak saling bertabrakan” bukanlah masalah yang sesulit itu

• Tempat terbaik untuk bersembunyi adalah terlihat seperti akun layanan yang semua orang takut sentuh karena tidak tahu apa yang akan rusak jika dinonaktifkan. Bagus

  • Sebaliknya, petugas IT yang terlalu bersemangat di tempat kerja kami pernah menghapus akun otomatisasi Jira. Ia tidak tahu mengapa akun itu ada dan nama $CompanySecretary terlihat mencurigakan
    Beberapa hari kemudian, sebelum sesuatu yang sangat penting rusak, kami sangat kerepotan mencari dan memperbaiki semua workflow dan tiket yang merujuk pengguna itu
  • Saya jadi teringat malware terkenal dan nama proses mereka

• “Tentu saja tidak semua perusahaan akan tertipu oleh lelucon ini”, tetapi perusahaan bisa saja tertawa terakhir: https://en.wikipedia.org/wiki/Computer_Fraud_and_Abuse_Act

  • Itulah poinnya kenapa dia menunggu 2 tahun baru bicara. Kebetulan pas dengan masa kedaluwarsa penuntutan CFAA
  • Saat melihat frasa “lelucon ringan”, ini yang pertama kali terpikir oleh saya
  • Yang tertawa terakhir bisa jadi Slack. Bagaimanapun, mereka mendapatkan banyak “data bisnis sensitif”

• Mengganti karakter ASCII dengan karakter Unicode yang tampak mirip adalah trik lama. Ada cukup banyak karakter seperti ini, dan bisa dimasukkan ke kode untuk menjahili sesama developer. Tanggal 1 April juga sudah dekat
  Saya juga membuat plugin Vim yang menyorot karakter “berbahaya” seperti ini: https://github.com/vim-utils/vim-troll-stopper
  Saya belum pernah kena prank dengan karakter Unicode, tetapi pernah ada konsultan Jepang yang tanpa sengaja memasukkan karakter “spasi ala Jepang” ke file terjemahan sehingga aplikasi rusak. Karena saya selalu menyalakan plugin Vim, penyebabnya cepat ketahuan

  • Banyak aplikasi dengan “baik hati” mulai mengganti dua tanda hubung dengan dash panjang Unicode yang lebih enak dilihat, dan itu membuat tool command-line rusak
  • Saya ingat ini: https://news.ycombinator.com/item?id=10438363
  • Karakter sampah yang tidak disengaja pun bisa berdampak jauh. Saya teringat seseorang di laporan medis pernah memakai huruf O superskrip seolah-olah itu simbol derajat
    Belakangan, ketika karakter itu dikonversi menjadi karakter yang bukan superskrip, maknanya jadi cukup berbeda. Yang lebih tidak membantu lagi, setelah percobaan simbol itu mereka juga menuliskan kata degrees

• Kalau Slack tidak mengizinkan penguncian perubahan nama, rasanya itu akan menjadi celah keamanan besar bagi perusahaan besar
  Ubah nama menjadi CEO dan sesuaikan juga gambar profilnya, maka kemungkinan orang menyadari perbedaannya sebelum semuanya terlambat sangat kecil. Mengubah diri menjadi Slackbot terlihat seperti hal kecil

  • Perubahan nama bisa dikunci. Saya berada di organisasi Enterprise Grid, dan nama tampilan serta username disinkronkan dengan profil karyawan
    SSO juga wajib setiap kali menjalankan aplikasi desktop, jadi kalau sudah keluar dari perusahaan, mustahil bisa masuk lagi. Akun juga dinonaktifkan sangat cepat, jadi kemungkinan besar mobile pun bukan kekhawatiran besar
    Yang praktis bisa diubah tanpa mengajukan tiket hanya foto dan beberapa field isian bebas yang tidak terlalu penting
  • Itu bisa dilakukan di pengaturan organisasi. Hal yang sama berlaku untuk pembahasan SAML/SSO di bawah. Kalau nama masih bisa diubah, itu lebih mendekati tidak adanya admin IT atau admin yang malas
  • Perusahaan besar memakai SAML atau autentikasi federasi lain agar orang tidak bisa login tanpa autentikasi perusahaan
  • Pada saat yang sama, fitur perubahan nama juga benar-benar berkah besar
    Kami menyalahgunakannya dengan langsung memasukkan informasi kehadiran di nama tampilan. Misalnya menulis mike-2/12~16vac. supaya orang yang menghubungi bisa memperkirakan waktu respons, atau tahu apakah masih boleh menugaskan pekerjaan jika beberapa hari lagi orang itu akan cuti
    Sepertinya tidak ada yang melihat atribut status sebenarnya, dan ini lebih baik daripada harus membuka kalender untuk mengecek
  • Saya rasa ini mungkin salah satu alasan perusahaan kami baru-baru ini menghapus kemampuan orang untuk mengganti nama di sistem konferensi video

• Kalau melihat screenshot orang-orang yang membalasnya, mereka jelas tahu dia bukan Slackbot dan bahkan memanggilnya Tom. Jadi ini agak bertentangan dengan judulnya. Ia jelas bukan dalam kondisi “tidak ketahuan”
  Di Slack kami juga masih ada mantan karyawan. Kadang mereka mampir untuk menyapa, dan itu menyenangkan. Kalau suatu hari salah satu dari mereka mulai menirukan Slackbot secara sarkastik, saya rasa kami juga akan menertawakannya saja

  • Yang dimaksud di sini adalah “tidak ketahuan oleh manajemen”. Itu juga jelas tertulis di artikelnya. Teman-temannya tahu dia ada di sana dan tertawa bersama
  • Kami juga mirip. Slack bukan kanal komunikasi utama, tetapi kami memakainya untuk konsultan eksternal, dan orang-orang yang sudah keluar tetap mengatur janji makan siang tanpa dikeluarkan

• Di tempat kerja saya dulu, penonaktifan akun Slack lambat. Jadi saat keluar, saya membuat kanal privat bernama #daves_cave dan mengundang teman-teman
  Sesekali saya meninggalkan cerita pendek atau kalimat jenaka, dan itu menyenangkan sampai manajemen menyadarinya lalu menonaktifkan akun saya

  • Saya punya tim Slack berbayar pribadi, seingat saya biayanya sekitar 10 dolar per bulan. Kita bisa mengundang orang dari tim Slack berbayar lain ke sebuah room untuk mengobrol
    Keunggulan cara ini adalah karena “memang desain yang disengaja”, kecil kemungkinan ditutup, dan kemungkinan tersandung undang-undang terkait penyalahgunaan komputer juga lebih kecil

• Saya rasa perusahaan mengira jawaban untuk masalah ini adalah single sign-on
  Sekarang saya tidak lagi mengelola IT, tetapi dulu saat masih mengelolanya, kami menandai orang yang keluar sebagai nonaktif di Azure Active Directory. Dengan begitu mereka tidak bisa login ke layanan apa pun seperti Office 365, Outlook, Teams, dan juga tidak bisa masuk ke layanan pihak ketiga yang memakai MS SSO. Bukankah Slack seharusnya juga disambungkan ke sana?

  • Departemen IT yang kompeten atau punya staf cukup tentu akan melakukan itu. Namun bisa saja departemen lain mengatur Slack tanpa berkonsultasi dengan IT