Facebook Sessizce Etkilenen Milyonlarca Kişi Etkilenen Büyük Bir Güvenlik Deliği Açıyor [Haber]

İlan

Facebook, Symantec'in milyonlarca sızdırılmış “erişim jetonu” üzerinde yaptığı iddiaları doğruladı. Bu belirteçler bir uygulamanın kişisel bilgilere erişmesini ve profiller üzerinde değişiklik yapmasını sağlar, temelde üçüncü taraflara profil bilgilerinize, fotoğraflarınıza, duvarınıza ve mesajlar.

Bu üçüncü tarafların (çoğunlukla reklamverenlerin) güvenlik açığını bilip bilmediği doğrulanmadı, ancak Facebook Symantec'e kusurun giderildiğini söyledi. Bu anahtarlar aracılığıyla verilen erişim, kullanıcıların kişisel verilerini incelemek için bile kullanılabilir ve güvenlik açığının Facebook uygulamaları başlatıldığında 2007'ye kadar çıkabileceğine dair kanıtlar olabilir.

Symantec çalışanı Nishant Doshi Blog yazısı:

“Nisan 2011 itibariyle 100.000'e yakın başvurunun bu sızıntıyı mümkün kıldığını tahmin ediyoruz. Yıllar içinde yüzbinlerce uygulamanın yanlışlıkla üçüncü taraflara milyonlarca erişim jetonu sızdırmış olabileceğini tahmin ediyoruz..”

Oldukça Sony

Erişim belirteçleri, bir kullanıcı bir uygulama yüklediğinde ve hizmete profil bilgilerine erişim izni verdiğinde verilir. Çoğu uygulama, kullanıcı yeni bir parola ayarlayana kadar değişmeyecek bir çevrimdışı erişim anahtarı ister, ancak çoğu zaman erişim anahtarlarının süresi dolar.

Katı OAUTH2.0 kimlik doğrulama yöntemleri kullanan Facebook'a rağmen, bazı eski kimlik doğrulama şemaları hala kabul edilmektedir ve buna karşılık binlerce uygulama tarafından kullanılmaktadır. Bu uygulamalar, yanlışlıkla üçüncü taraflara bilgi sızdırmış olabilecek eski güvenlik yöntemlerini kullanır.

Nishant açıklıyor:

“Uygulama, kullanıcıyı bilinen uygulama izni iletişim kutusuna yönlendirmek için istemci tarafı yönlendirme kullanıyor. Bu dolaylı sızıntı, uygulama eski bir Facebook API'sini kullanıyorsa ve yönlendirme kodlarının bir parçası olarak şu kullanımdan kaldırılmış parametreleri “return_session = 1” ve “session_version = 3 ″” içeriyorsa meydana gelebilir.

Bu parametreler kullanılmışsa (yukarıda resmedilmiştir), Facebook, URL içinde erişim belirteçleri içeren bir HTTP isteği döndürür. Yönlendirme şemasının bir parçası olarak, bu URL, üçüncü taraf reklamverenlere, erişim belirteciyle birlikte (aşağıda resmedilmiştir) aktarılır.

Erişim anahtarlarının iyi ve gerçekten sızdırıldığından endişe duyan kullanıcılar, jetonu otomatik olarak sıfırlamak için şifrelerini hemen değiştirmelidir.

Revize edilmiş uygulama kimlik doğrulama yöntemlerinin o zamandan beri var olmasına rağmen, resmi Facebook blogunda ihlalle ilgili hiçbir haber yoktu gönderildi tüm sitelerin ve uygulamaların OAUTH2.0'a geçmesini gerektiren geliştiriciler blogunda.

İnternet güvenliği konusunda paranoyak musunuz? Yorumlarda Facebook'un mevcut durumu ve çevrimiçi güvenlik hakkında söz sahibi olun!

İmaj Kredisi: Symantec