ترفندستان
درباره سایت
آخرین مطالب
امکانات وب
به گزارش ترفندستان, به نقل از دیتا سکیوریتی بریچ, یک اسیب پذیری در فیسبوک لاگین اصلاح شد. مخربین با استفاده از این اسیب پذیری بجای کاربر اصلی لاگین میکردند.
Bitdefender Labs به هنگام تائید انلاین سایتهای وب ثالث که با لاگین فیسبوک کار میکنند متوجه یک اسیب پذیری در ان شد. کمبود تدبیری امنیتی به هنگام تائید, به مخربین امکان سوء استفاده از هویت کاربر و دسترسی به اکانت انها بدون رمز عبور را فراهم میساخت.
لاگین اجتماعی جایگزینی برای لاگین کردن سنتی است که در نزد کاربران محبوب است چون با ان میتوانند بدون وارد کردن شناسه خود به اکانت خود روی بعضی سایتها کانکت شوند. اکثر سایتها این لاگین اجتماعی از طریق فیسبوک و لینکداین و توئیتر و گوگل پلاس را پیشنهاد میدهند.
محققین امنیتی بیت دفندر روشی برای استفاده از هویت کاربر و دسترسی به اکانتهای وب وی با استفاده از پلاگین فیسبوک لاگین یافته اند.
Ionut Ceica, محقق متخصص در اسیب پذیری در شرکت بیت دفندر میگوید : "این اسیب پذیری حادی است که به مخربین امکان ساختن یک حساب کاربری با یک ادرس ایمیلی که متعلق به انان نیست و همچنین تغییر ادرس ایمیل مربوط به حساب کاربری یک سایت را با ادرس دیگری که کنترل نشده میدهد. این به این معنا است که فردی مخرب میتواند به نام کاربر پرداختهائی انلاین کرده و موتور انتی ویروس وی را برای الوده کردن ابزار جانبی او متوقف ساخته و ملویرهائی برای تماسهایش ارسال کرده و باز هم کارهای بیشتری انجام دهد."
برای موفقیت اینگونه حمله ای, نباید که ادرس ایمیل قربانی روی فیسبوک ذخیره شده باشد. اکثر کاربران بیش از یک ادرس ایمیل روی سایتهای متفاوت دارند که در دسترس همگان هستند. در نتیجه برای یک مخرب به دست اوردن یکی از این ادرسهای قربانی و ساختن یک حساب کاربری فیسبوک با ان اسان است.
فیسبوک لاگین برای کنترل هویت یک کاربر بدون شناسه و رمز عبور وی از پروتکل OAuth استفاده میکند. فیسبوک اجازه دارد با این پروتکل بعضی اطلاعات کاربر را با سایتهای وب به اشتراک بگذارد.
بیت دفندر موفق شده مرحله تائید را که معمولا به هنگام ثبت یک ادرس ایمیل جدید فیسبوک انجام میشود را دور بزند. یکی از محققین این شرکت یک اکانت فیسبوک با ادرس ایمیل قربانی ساخته و بعد از ثبت نام این ادرس ایمیل را یا ادرس ایمیل دیگری که خود کنترل انرا داشته جایگزین نموده است. بعد از ریفرش صفحه, ادرس ایمیل جدید قربانی تائید شده است. زمانیکه این محقق با ایکن فیسبوک لاگین تصمیم به کانکت شدن به یک سایت دیگر و با ادرس ایمیل قربانی گرفته, در واقع باید این ادرس ایمیل جدید که متعلق بخود او است را تائید کند و نه ادرس قبلی که متعلق به قربانی بوده است.
Ionut Ceica میگوید : "من مجددا از فیسبوک لاگین استفاده نموده و تصمیم گرفتم ادرس خود را بعنوان ادرس اصلی بجای ادرس قربانی تعیین کنم و سپس مجددا انرا تغییر دادم تا حساب کاربری قربانی را اکانت اصلی نمایم. این مرحله ای مهم برای تولید این مشکل است."
سپس وی روی سایتی دیگر از فیسبوک لاگین برای کانکت شدن با هویت قربانی استفاده کرده است. این سایت انرا با ادرس ایمیل قربانی ربط داده است و در نتیجه این اکانت به این محقق که میتوانست فرد مخربی باشد کنترل این حساب کاربری را داده است.Ceica به دیتا سکیوریتی بریچ گفته است : "ارائه کننده هویت که در اینجا فیسبوک است, باید منتظر میشد تا ادرس ایمیل جدید کنترل و تائید شود."
فیسبوک بعد از اطلاع بیت دفند این اسیب پذیری حاد فیسبوک لاگین را سریعا اصلاح کرده است.
این خبر انحصارا برای ترفندستان ترجمه شده و کلیه حقوق مادی و معنوی ان مربوط و متعلق به وب سایت ترفندستان است. کپی این خبر فقط با قید نام ترفندستان مجاز است.
برچسب:
نویسنده: دانلودی