Så lätt kapas ditt Facebook-konto
Innehållsförteckning:
Facebook har patchat en allvarlig sårbarhet som kunde ha gjort det möjligt för angripare att enkelt få tillgång till privata användarkontouppgifter och kontrollera konton genom att lura användarna till att öppna Nir Goldshlager, forskaren som påstår sig ha hittat felet och rapporterat det till Facebook, lade fram en detaljerad beskrivning och video demonstration av hur attacken fungerade på hans blogg.
Sårbarheten skulle ha gjort det möjligt för en potentiell angripare att stjäla känsliga bitar av information som kallas OAuth access tokens. Facebook använder OAuth-protokollet för att ge tredjepartsprogram tillgång till användarkonton efter att användarna godkänt dem.
[Ytterligare läsning: Så här tar du bort skadlig kod från din Windows-dator]
Goldshlager hittade en sårbarhet på Facebook: s webbplatser för mobila enheter som berörs av mobila enheter och som beror på felaktiga enheter. sanering av URL-banor. Detta gjorde det möjligt för honom att skapa webbadresser som kunde ha använts för att stjäla åtkomsttoken för alla applikationer som en användare hade installerat på sin profil.Medan de flesta applikationer på Facebook är tredjepartsprogram som användare måste manuellt godkänna finns det en några inbyggda program som är förhandsgodkända. En sådan applikation är Facebook Messenger; dess åtkomsttoken upphör att gälla om inte användaren ändrar sitt lösenord och det har omfattande behörigheter för åtkomst till kontouppgifter.
Facebook Messenger kan läsa, skicka, ladda upp och hantera meddelanden, meddelanden, foton, e-postmeddelanden, videor och mer. URL-manipuleringsproblemet som hittades på m.facebook.com och touch.facebook.com kunde ha utnyttjats för att stjäla en användares åtkomsttoken för Facebook Messenger, vilket skulle ha gett angriparen full tillgång till kontot, sade Goldshlager.
Fingered av bug-hunter
Attackadressen kunde ha förkortats med en av de många URL-korttjänsterna och skickades till användarna masquerading som en länk till något annat. Attacken skulle också ha fungerat på konton som hade Facebook: s tvåfaktorautentisering aktiverad, sa Goldshlager.
Med accesstoken och användar-ID för Facebook kan en angripare extrahera information från användarkontot med hjälp av Graph API Explorer, en verktyget till utvecklare som finns på Facebook: s webbplats, sa Goldshlager fredag via e-post.
Enligt Goldshlager fastställde säkerhetsgruppen Facebook sårbarheten. "Facebook har ett professionellt säkerhetslag och de löser problem mycket snabbt, säger han."
"Vi välkomnar säkerhetsforskaren som väckte denna fråga till vår uppmärksamhet och ansvarigt rapporterar felet till vårt White Hat-program," en Facebook-representant sade fredag via e-post. "Vi arbetade med laget för att se till att vi förstod det fulla räckviddet av sårbarheten, vilket gjorde det möjligt för oss att fixa det utan några bevis för att den här buggen exploaterades i det vilda. På grund av den ansvariga rapporteringen av denna fråga till Facebook har vi inga bevis för att användarna påverkades av den här felanvändningen. Vi har gett forskarna en bounty för att tacka dem för deras bidrag till Facebook Security. "
Forskaren hävdar att han också hittade andra OAuth-relaterade sårbarheter som påverkar Facebook, men nekade att avslöja någon information om dem eftersom de har" t har fixats än.
Facebook driver ett bug-bounty-program genom vilket det betalar monetära belöningar till säkerhetsforskare som hittar och ansvarigt rapporterar sårbarheter som påverkar webbplatsen.
Goldshlager sa på Twitter att han ännu inte har betalats av Facebook för rapportering om detta sårbarhet men noterade att hans rapport inkluderade flera sårbarheter och att han förmodligen kommer att få belöningen efter att alla har blivit fixade.
Facebook betalar säkerhetsforskare mycket bra för att hitta och rapportera fel, sa Goldshlager via e-post. "Jag kan inte säga hur mycket, men de betalar mer än något annat program för bug-bounty som jag vet."
Uppdaterad kl. 11:55 för att inkludera en kommentar från Facebook.
SSL-certproblemet rapporterades vid förra veckans Black Hat-säkerhetskonferens, och kan tillåta en angripare att använda ett "null termination" -certifikat för att fånga SSL-kommunikation mellan webbläsaren och en webbplats. Sådan trafik är normalt krypterad så att den bara skulle uppträda som okrypterbara bokstäver och siffror till alla digitala spioner, men certbuggen möjliggör en lyckad "man-in-the-middle" kapning om en angripare har tillgång till ditt nätverk.
Firefox 3.0.13 åtgärdar problemet, tillsammans med ett annat certifikatproblem som rapporterats av samma forskare, Moxie Marlinspike. Firefox 3.5 var redan skyddad från dessa fel, men en ny uppdatering av 3.5.2 uppdaterar andra säkerhetshål, inklusive en javascript-bugg som potentiellt kan riktas mot att installera skadlig kod.
Att välja ett webbdesignprogram kan vara skrämmande. Du kan välja antingen en användarvänlig applikation som raderar dig med mallar som tillåter liten eller ingen anpassning eller ett professionellt program som har en brant inlärningskurva och kräver mycket teknisk expertis. Fast i mitten är Serif WebPlus ($ 100), från det företag som producerar skrivbordsförlagsprogrammet PagePlus; Det hjälper dig att skapa en attraktiv, dynamisk och mycket anpassningsbar webbplats utan att behöva använda HTML-
WebPlus X4 är ett mallbaserat, trolldrivet drag-och-släpp-program på ytan. Men under huven hittade vi massor av kontroller och alternativ. Experter kan starta en webbplats från en tom sida och även redigera i kod, om de önskar. För resten av oss har Create New Site från Mall-guiden 50 designmallar i sex kategorier (plus fem ytterligare mallar när du registrerar dig).
Breda använda trådlösa IP-kameror som är öppna för kapning via Internet, säger forskare
Tusentals trådlösa IP-kameror som är anslutna till Internet har allvarliga säkerhetsbrister som tillåter angripare att kapa dem och ändra sin firmware, enligt två forskare från säkerhetsfirman Qualys.