Hình ảnh về nội dung làm thế nào Soltani có thể đột nhập vào tài khoản Facebook và Twetter đăng trên Facebook

Ứng dụng di động KLIK của Face.com đã bị khóa sau khi một nhà nghiên cứu phát hiện ra rằng nó có thể được sử dụng để khai thác tài khoản Facebook và Twitter.

Face.com là trang web đã được Facebook mua lại trong thời gian gần đây. KLIK là một ứng dụng của Face.com cho phép tag khuôn mặt người trong ảnh khi sử dụng Facebook. Nhưng Ashkan Soltani, nhà nghiên cứu về bảo mật và an ninh, phát hiện ra rằng ứng dụng cũng cho phép bất cứ ai lợi dụng để khai thác tài khoản người sử dụng KLIK trên Facebook và Twitter để nhận được quyền truy cập các bức ảnh trên.

"Hacker không chỉ truy cập tự do vào các hình ảnh bí mật, mà còn có khả năng thao tác trên Face.com để tự động nhận ra bạn bè của chủ tài khoản được tag trên đó".

Ngoài việc truy cập vào các dữ liệu riêng tư (thông tin cá nhân, hình ảnh...), hacker sẽ lợi dụng những dữ liệu trên để khai thác tài khoản và cập nhật trạng thái, từ đó có thể phát sinh lừa đảo. Khi KLIK được kết nối dựa trên Facebook, điều đó có nghĩa là bất cứ ai đã sử dụng ứng dụng này đều có thể đã bị hacker "hỏi thăm".

Vấn đề xảy ra do Face.com lưu trữ token ủy quyền OAuth của Facebook và Twitter một cách không an toàn trên máy chủ của họ. Thông tin chi tiết sẽ được công bố công khai sau khi lỗ hổng này được vá.

Theo CNET




Bình luận

  • TTCN (1)
Hải Nam  30903

Mình tóm tắt nội dung cho ai không hiểu (giả dụ mình hiểu đúng):

- Người dùng KLIK (hay bất kì ứng dụng nào khác sử dụng API của Facebook và Twitter) có 1 token để ứng dụng đó có thể tag hay viết lên tường... Đây là chuyện bình thường.

- Vấn đề là KLIK muốn tự động tag ảnh, thí dụ Mai upload ảnh lên, và KLIK nhận ra Thảo có mặt trong ảnh đó, mà 2 người này không được phép tag nhau, nên KLIK lấy token của Thảo (nếu chị này có dùng KLIK) để tự tag mình lên ảnh do Mai upload. Tức là thay vì lưu token trong ứng dụng, và ai dùng token của người đó, KLIK lại lưu hết tại máy chủ của họ.

- Xảy ra vấn đề như trên. Giả dụ Bill Gates có 10 triệu người follow, và bình thường bạn không tag ảnh của Bill Gates được (tag được thì có mà loạn!). Nhưng giờ Bill dùng KLIK, bạn chỉ việc upload ảnh hot, trong đó Photoshop mặt Bill vào, thế là ảnh tự động tag Bill, và ảnh đó sẽ hiện ra trên tường của 10 triệu fan hâm mộ Bill Wink