Маша и Медведь (Masha and The Bear) - Подкидыш (23 Серия)
Исследователь безопасности опубликовал в пятницу еще одну атаку на службу обмена фотографиями в Facebook, которая позволила хакеру захватить контроль над учетной записью жертвы.
Атака была разработана Карлосом Ревентовым вокруг уязвимость, которую он обнаружил в Instagram в середине ноября. Он уведомил Instagram о проблеме 11 ноября, но по состоянию на прошлый вторник он не был исправлен.
Уязвимость относится к версии приложения Instagram версии 3.1.2, выпущенной 23 октября для iPhone. Ревентов обнаружил, что, хотя некоторые чувствительные действия, такие как вход в систему и редактирование данных профиля, зашифровываются при отправке в Instagram, другие данные были отправлены в текстовом формате. Он тестировал две атаки на iPhone 4 под управлением iOS 6, где он впервые обнаружил проблему.
[Дополнительная информация: Как удалить вредоносное ПО с вашего ПК с Windows]«Когда жертва запускает приложение Instagram, -text cookie отправляется на сервер Instagram, - писал Ревентов. «Как только злоумышленник получает cookie, он может создавать специальные HTTP-запросы для получения данных и удаления фотографий».
Файл cookie с открытым текстом может быть перехвачен с использованием атаки «человек в середине», если хакер в той же локальной сети (локальная сеть) в качестве жертвы. После получения файла cookie хакер может удалить или загрузить фотографии или получить доступ к фотографиям другого человека, который дружит с жертвой.
Датская охранная компания Secunia проверила атаку и выступила с рекомендацией.
Ревентов продолжал изучать потенциал уязвимости и обнаружение проблемы с печеньем также могут позволить хакеру захватить учетную запись жертвы. Опять же, атакующий должен находиться в той же локальной сети, что и жертва.
Компромисс использует метод под названием ARP (Address Resolution Protocol), при котором веб-трафик мобильного устройства жертвы направляется через компьютер злоумышленника. Reventlov писал, что тогда можно перехватить файл cookie с открытым текстом.
Используя другой инструмент для изменения заголовков веб-браузера во время передачи на серверы Instagram, можно войти в систему как жертву и изменить потерю адрес электронной почты, в результате чего возникает скомпрометированная учетная запись. Исправление для Instagram простое: сайт должен всегда использовать HTTPS для запросов API, имеющих конфиденциальные данные, пишет Ревентов.
«Я обнаружил, что многие приложения для iPhone уязвимы для таких вещей, но не слишком много - это громкие таких как Instagram », - написал Ревентов в электронном письме в службу новостей IDG.
Ни в Instagram, ни в Facebook должно быть немедленно достигнуто в понедельник. Ревентов писал в своих рекомендациях, что получил автоматический ответ, когда сказал Instagram о проблеме.
Отправить новости советы и комментарии к [email protected]. Следуйте за мной в Twitter: @jeremy_kirk
Как изменить учетную запись Microsoft на локальную учетную запись в Windows 10
В этом руководстве показано, как переключиться на локальную учетную запись с учетной записи Microsoft в Windows 10, чтобы вы могли войти в систему с локальной учетной записью на своем компьютере.
Проверка безопасности Facebook позволяет защитить вашу учетную запись
Используйте оптимальные параметры безопасности, наслаждаясь социальной сетью. Используйте Facebook Security Checkup и защитите свою учетную запись Facebook, чтобы предотвратить взлома.
Как изменить локальную учетную запись на учетную запись Microsoft в Windows 8
Узнайте, как изменить локальную учетную запись на учетную запись Microsoft в Windows 8 и почему вы должны или не должны.