Twitter Oauth 1.0 using Postman client
En funktion i Twitter API gränssnittet) kan missbrukas av angripare för att starta trovärdiga socialtekniska attacker som skulle ge dem en stor chans att kapra användarkonton, avslöjade en mobilapplikationsutvecklare onsdag vid säkerhetshögskolan Hack in the Box i Amsterdam.
Problemet måste göra med hur Twitter använder OAuth-standarden för att auktorisera program från tredje part, inklusive stationära eller mobila Twitter-klienter, att interagera med användarkonton via sitt API, Nicolas Seriot, en mobb
Twitter tillåter att appar anger en anpassad återuppringningsadress där användarna omdirigeras efter att de beviljat dessa appar åtkomst till sina konton via en auktoriseringssida på Twitters webbplats.
[Vidare läsning: Så här tar du bort skadlig kod från din Windows-dator]Seriot hittade ett sätt att skapa speciella länkar som, när de klickas av användarna, öppnar Twitter-apptillståndssidor för populära kunder som TweetDeck. Dessa förfrågningar skulle emellertid ange attackerens server som återkopplingsadresser, vilket tvingar användarnas webbläsare att skicka sina Twitter-åtkomststickor till angriparen.
Åtkomsttoken tillåter att åtgärder utförs med det tillhörande kontot via Twitter API utan att behöva ett lösenord En angripare kan använda sådana tokens för att lägga in nya tweets för de kompromisserade användarnas räkning, läsa deras privata meddelanden, ändra platsen som visas i deras tweets och mer.
Presentationen omfattade i huvudsak säkerhetsaspekterna av att tillåta anpassade återuppringningar och beskrev en Metod för att använda denna funktion för att maskera som legitima och betrodda Twitter-klienter för att kunna stjäla användaråtkomsttoken och kapacitetskonton, säger Seriot.
En angripare kan skicka ett mail med en sådan skapad länk till ett viktigt företags sociala medier chef eller nyhetsorganisation som tyder på att det är en länk att följa någon på Twitter.
När du klickar på länken skulle målet se en SSL-skyddad Twitter-sida som ber honom att godkänna TweetDeck, Twitter för iOS eller någon annan populär Twitter-klient, för att komma åt sitt konto. Om målet redan använder den omannonserade klienten kan han tro att den tidigare beviljade auktoriteten har löpt ut och de måste godkänna appen igen.
Klicka på "godkänn" -knappen skulle tvinga användarens webbläsare att skicka accesstoken till angriparens server, som då skulle omdirigera användaren tillbaka till Twitter-webbplatsen. Användaren skulle inte se några tecken på något dåligt att hända, sade Seriot.
För att kunna utföra en sådan attack och skapa de speciella länkarna i första hand, skulle angriparen behöva känna till Twitter API-tokens för de applikationer han vill efterlikna. Dessa är vanligtvis hårdkodade i applikationerna själva och kan extraheras på flera sätt, säger Seriot.
Utvecklaren byggde ett OAuth-bibliotek med öppen källkod för Mac OS X som kan användas för att interagera med Twitter API och skapa auktoriseringslänkar med felaktiga återkopplingsadresser. Biblioteket, som kallas STTwitter, byggdes för legitima ändamål och är avsedd att lägga till Twitter-stöd till Adium, en populär multi-protokoll chattklient för Mac OS X.
Enligt Twitter kan Twitter hindra sådana attacker av inaktivera återuppringningsfunktionen från dess OAuth-implementering. Men han tror inte att företaget kommer att göra det eftersom det är tekniskt en legitim funktion som används av vissa kunder.
Twitter svarade inte omedelbart på en begäran om kommentar skickad torsdag.
Facebooks telefonsökning kan missbrukas för att hitta människors nummer, säger forskare
Attackers kan missbruka Facebooks telefonsökningsfunktion för att hitta giltiga telefonnummer och deras ägares namn, enligt säkerhetsforskare.
Det finns ett gammalt ordspråk att bygga en ny dator eller uppgradera en gammal: "Använd rätt verktyg för rätt jobb." Visst kan du använda ett smör kniv för att lossa en skruv eller ett tang för att dra åt ett moderkort, men det gör inte jobbet något jämnare, och man kan satsa på att det kan göra någon skada. Att använda rätt verktyg för ett visst jobb gör jobbet enklare och det förbättrar vanligtvis den slutliga kvaliteten på den färdiga produkten.
Varje systembyggare behöver ett antal verktyg för att slutföra alla PC-byggnader eller uppgradera med effektiviteten och precisionen hos en kirurg. Några av verktygen kommer att vara uppenbara, andra mindre.
Avgiftning är viktigt, vare sig det är din kropp eller dina digitala konton. Medvetet eller inte skapar vi ofta så många konton på olika webbplatser, lämnar våra referenser där och glömmer. Vi kommer knappast ihåg de mindre viktiga konton som vi har gjort över internet eller de villkor som vi har kommit överens om genom att klicka på "Jag håller med om". Medan den moderna livsstilen har gjort det nästan omöjligt för oss att koppla bort från internet, finns det vissa sätt som ger oss st
Data Detox