Перейти к содержанию

Facebook позволял подглядывать за друзьями


Рекомендуемые сообщения

В сети Facebook был обнаружен серьезный дефект, который позволял просматривать приватную информацию путем выполнения определенных действий. Разработчики устранили его в течение нескольких часов, тем не менее, данный факт заставляет в очередной раз задуматься о безопасности данных, публикуемых в интернете.

 

Крупнейшая в мире социальная сеть Facebook устранила дефект, который позволял видеть, о чем пишут друг другу друзья пользователя в чате. Кроме того, он также позволял получить доступ к чужим спискам пользователей, отправивших запрос на дружбу. Для этого достаточно было выполнить последовательность определенных действий в веб-интерфейсе: зайти в меню Account, далее проследовать в разделы Privacy Settings, Personal Information, затем нажать на кнопку Preview my Profile и ввести имя друга, информацию которого нужно подсмотреть.

 

Дефект был обнаружен редакторами популярного издания TechCrunch, которые сочли его серьезным и немедленно уведомили об этом Facebook. Получив уведомление и убедившись в наличии проблемы разработчики мгновенно отключили функцию чата и выявили причину ее возникновения. В течение нескольких часов дефект был устранен. Когда он появился и сколько времени прошло до его обнаружения, не сообщается.

 

По словам читателей, воспользоваться обнаруженной возможностью получалось не у всех. Однако те, кому это удавалось сделать, были сильно удивлены тем, насколько легко оказывалось получить доступ к переписке друзей, которая была закрыта от посторонних глаз.

 

Эксперты в целом разочарованы уровнем безопасности Facebook, хотя и отмечают высокую скорость реакции. «Для любой организации, а особенно для социальных сетей нарушения системы безопасности представляют серьезную проблему, - считает эксперт из компании Symantec Кандид Вурст (Candid Wueest). – К сожалению, это не первый дефект такого рода, от которого пострадала социальная сеть – другие популярные сайты также испытывали схожие проблемы. И решают они их далеко не так быстро, как это было сделано сейчас». В некоторых случаях, по его словам, на латание дыр уходили дни.

 

440_b86c7.jpg

На устранение дефекта Facebook понадобилось несколько часов

 

Старший технический сотрудник организации Electronic Frontier Foundation (EFF), занимающейся защитой прав в цифровую эпоху, Питер Эккерcли (Peter Eckersley) рекомендует не публиковать в социальных сетях никакую информацию, доступ к которой со стороны третьих лиц может привести к негативным последствиям. «Если вы не хотите, чтобы мир знал о вас что-то, не публикуйте эту информацию в сетях вроде Facebook».

 

Согласно опросам, более половины пользователей социальных сетей отправляют в них важную персональную информацию. К ней специалисты относят семейные фотографии, информацию о месте работы и даже точную дату рождения. При этом 23% пользователей сети Facebook либо не знают о возможности ограничивать доступ к персональным данным, либо никогда не прибегали к помощи этой функции. Эксперты напоминают, что даже если пользователь удалит информацию, она может оставаться на сервере длительное время и выдаваться, например, по запросу государственных структур. В настоящее время различные организации пытаются определить, какой именно уровень безопасности должны предлагать социальные сети. cnews.

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
  • Похожий контент

    • KL FC Bot
      Автор KL FC Bot
      Сразу после католического Рождества стало известно о многоэтапной атаке на разработчиков популярных расширений Google Chrome. Самой известной целью по иронии судьбы стало ИБ-расширение от компании Cyberhaven, скомпрометированное прямо перед праздниками (о таких рисках мы предупреждали). По мере расследования инцидента список пополнился как минимум 35 популярными расширениями с суммарным числом установок 2,5 млн копий. Целью злоумышленников является похищение данных из браузеров пользователей, которые установили троянизированные обновления расширений. В ходе данной кампании преступники фокусировались на похищении учетных данных от сервисов Meta* с целью компрометации чужих бизнес-аккаунтов и запуска своей рекламы за чужой счет. Но, в теории, вредоносные расширения позволяют похищать и другие данные из браузера. Рассказываем о том, как устроена атака и какие меры принять для защиты на разных ее этапах.
      Атака на разработчиков: злоупотребление OAuth
      Чтобы внедрить троянскую функциональность в популярные расширения Chrome, преступники разработали оригинальную систему фишинга. Они рассылают разработчикам письма, замаскированные под стандартные оповещения Google о том, что расширение нарушает политики Chrome Web Store и его описание необходимо скорректировать. Текст и верстка сообщения хорошо мимикрируют под типовые аналогичные письма Google, поэтому для жертвы письмо выглядит убедительно. Более того, во многих случаях письмо отправляется с домена, специально зарегистрированного для атаки на конкретное расширение и содержащего название расширения прямо в имени домена.
      Клик по ссылке в письме приводит на легитимную страницу аутентификации Google. Пройдя ее, разработчик видит еще один стандартный экран Google, предлагающий авторизоваться по OAuth в приложении Privacy Policy Extension и в рамках входа в это приложение дать ему определенные права. Эта стандартная процедура проходит на легитимных страницах Google, только приложение Privacy Policy Extension запрашивает права на публикацию расширений в Web Store. Если разработчик дает такое разрешение, то авторы Privacy Policy Extension получают возможность публикации обновлений в Web Store от лица жертвы.
      В данном случае атакующие не крадут пароль и другие реквизиты доступа разработчика, не обходят MFA. Они просто злоупотребляют системой Google по делегированию прав, чтобы выманить у разработчика разрешение на обновление его расширения. Судя по длинному списку зарегистрированных злоумышленниками доменов, они пытались атаковать гораздо больше, чем 35 расширений. В тех случаях, когда атака проходила успешно, они выпускали обновленную версию расширения, добавляя в него два файла, ответственные за кражу куки-файлов и других данных Facebook** (worker.js и content.js).
       
      View the full article
    • sputnikk
      Автор sputnikk
      Отец когда-то регистрировался там для игры в шарики, но этого давно нету, поэтому перестал пользоваться.
      Вдруг стали приходить уведомления с запросом на дружбу. Сейчас посмотреть невозможно кто оставляет запросы на дружбу - нет пароля и доступ возможен только через антиблокировку.
       
      Запросы могут оставлять боты или сделал 1 человек много раз? Письма пересылаются мне из ящика отца.

       
      Сообщение от модератора Mark D. Pearlstone Тема перемещена из раздела "Технологии и техника"
    • KL FC Bot
      Автор KL FC Bot
      Несмотря на то что слежка в Интернете уже вроде бы стала обыденностью, ее масштабы продолжают поражать воображение — по крайней мере, если эти масштабы правильно донести до пользователя. Сухие факты вроде «За последний час ваш браузер связался с 456 рекламными трекерами» обычно мало о чем говорят. Проблема в том, что подобные цифры лишены контекста и не позволяют проследить связь между действиями пользователя и их последствиями. Другое дело, если бы слежку в Интернете можно было как-нибудь визуализировать или превратить в звук…
      Звучная слежка Google
      Именно это несколько лет назад проделала аудиохудожница Джасмин Гаффонд (Jasmine Guffond). Она создала браузерное расширение под названием Listening Back, которое издает звук каждый раз, когда браузер сохраняет, изменяет или удаляет cookie-файл. Поскольку эти события сопровождают практически любые действия пользователей — получается крайне наглядно (а заодно и довольно красиво).

      Похожая идея пришла в голову и нидерландскому программисту Берту Хуберту (Bert Hubert), известному созданием PowerDNS — программного обеспечения для DNS-серверов. По словам Хуберта, в процессе изучения логов сетевой активности его всегда поражало, насколько часто сайты связываются с Google (и не только). Это вдохновило его на то, чтобы написать небольшую программу, которую он назвал Googerteller.
      В оригинальной версии программа издавала звук каждый раз, когда происходило обращение к Google. Получилось весьма впечатляюще — просто послушайте, как это звучит в видео. Вот, например, запись визита на официальный сайт вакансий правительства Нидерландов, на котором размещают свои вакансии, в частности, голландские спецслужбы.
      Несмотря на то что пользователя никак об этом не предупреждают, практически каждый клик на этом сайте приводит к отправке информации Google.
      View the full article
    • KL FC Bot
      Автор KL FC Bot
      Группа исследователей из нескольких немецких университетов и институтов обнаружила уязвимость в DNSSEC — наборе расширений протокола DNS, которые предназначены для повышения его безопасности, в первую очередь для противодействия DNS-спуфингу.
      Атака, эксплуатирующая эту уязвимость, которую они назвали KeyTrap, позволяет вывести из строя DNS-сервер, отправив ему единственный вредоносный пакет данных. Рассказываем подробнее об этой атаке.
      Как работает атака KeyTrap и чем она опасна
      Публично об уязвимости в DNSSEC стало известно только сейчас, однако она была обнаружена еще в декабре 2023 года и зарегистрирована как CVE-2023-50387. Ей присвоена оценка 7,5 по шкале CVSS 3.1 и уровень опасности «высокий». Полностью информация об уязвимости и соответствующей атаке пока не обнародована.
      Суть KeyTrap состоит в следующем. Атакующий создает собственный DNS-сервер, отвечающий на запросы кэширующих DNS-серверов (то есть серверов, которые непосредственно обслуживают запросы клиентов) вредоносным пакетом. Далее злоумышленник заставляет кэширующий сервер запросить DNS-запись у вредоносного DNS-сервера, который в ответ отправляет криптографически подписанную вредоносную DNS-запись. При этом подпись выполнена таким образом, что в процессе ее проверки атакуемый DNS-сервер зависает на продолжительное время с загрузкой процессора 100%.
      По словам исследователей, в зависимости от используемого на DNS-сервере ПО, эта атака может с помощью единственного вредоносного пакета заставить сервер зависнуть на срок от 170 секунд до 16 часов. В результате атаки KeyTrap можно не только лишить доступа к веб-контенту всех клиентов, которые пользуются выведенным из строя DNS-сервером, но и помешать работе различных инфраструктурных сервисов, таких как защита от спама, обработка цифровых сертификатов (PKI) и безопасная междоменная маршрутизация (RPKI).
      Сами исследователи называют KeyTrap «самой серьезной из когда-либо обнаруженных атак на DNS-серверы». Интересно, что изъяны в логике проверки подписи, которые делают эту атаку возможной, обнаружены еще в одной из самых ранних версий спецификации DNSSEC, опубликованной в 1999 году. То есть данной уязвимости без малого четверть века.
      Предпосылки для KeyTrap содержатся еще в RFC-2035 — спецификации DNSSEC, опубликованной в 1999 году
       
      Посмотреть статью полностью
    • KL FC Bot
      Автор KL FC Bot
      В ноябрьском вторничном обновлении Microsoft исправила 89 уязвимостей в своих продуктах, причем две из них активно эксплуатируются. Особый интерес вызывает одна из них, CVE-2024-43451, позволяющая атакующим получить доступ к NTLMv2-хешу жертвы. Казалось бы, она имеет не особенно пугающий рейтинг по шкале CVSS 3.1 — 6,5 / 6,0. Однако при этом ее эксплуатация требует минимального взаимодействия от пользователя, а существует она благодаря движку MSHTML, наследию Internet Explorer, который теоретически отключен, деактивирован и больше не используется. Но при этом уязвимости подвержены все актуальные версии Windows.
      Чем опасна уязвимость CVE-2024-43451
      CVE-2024-43451 позволяет злоумышленнику создать файл, который, попав на компьютер жертвы, позволит атакующему украсть NTLMv2-хеш. NTLMv2 — это протокол сетевой аутентификации, который используется в средах Microsoft Windows. Получив доступ к NTLMv2-хешу, злоумышленник может провернуть атаку типа pass-the-hash и попытаться аутентифицироваться в сети, выдав себя за легитимного пользователя, но не имея при этом его реальных учетных данных.
      Разумеется, для этого недостаточно одной CVE-2024-43451 — для полноценной атаки ему придется воспользоваться дополнительными уязвимостями, но чужой NTLMv2-хеш изрядно облегчит жизнь атакующего. На данный момент дополнительных сведений об атаках, в которых CVE-2024-43451 применяется на практике, у нас нет, но в описании уязвимости четко говорится, что уязвимость публична, эксплуатируема и попытки эксплуатации выявлены.
       
      View the full article
×
×
  • Создать...