सुरक्षा सप्ताह 37: फेसबुक, ट्विटर और इन्फ्लेटेबल बग्स

निकट-विपणन विपणक आज इस बात पर चर्चा करना पसंद करते हैं कि ब्लॉकचेन में मौजूद होने पर किसी नए उत्पाद, तकनीक या घटना के बारे में कोई भी संदेश बेहतर माना जाता है। या मशीन लर्निंग एल्गोरिदम। इसी तरह, सूचना सुरक्षा के क्षेत्र में कोई भी संदेश सामाजिक नेटवर्क फेसबुक को संदर्भित करता है, तो अधिक गुंजायमान हो जाता है। उपयोगकर्ता डेटा की गोपनीयता के साथ एक घोटाले द्वारा गरम की गई सूचनात्मक वास्तविकता ऐसी है कि यदि आप "फेसबुक" और "भेद्यता" शब्दों को एक आवेदन में रखते हैं, तो वे प्रतिक्रिया करते हैं और क्लिकों में अनियंत्रित वृद्धि का कारण बनते हैं।


ठीक है, इस असंगत रसायन विज्ञान की इच्छा के लिए आत्मसमर्पण करें और पिछले सप्ताह फेसबुक पर क्या हुआ, इसके बारे में बात करें। और उसी समय, याद रखें कि पिछले सप्ताह ट्विटर पर क्या हुआ था। और उस मामले में, और अन्य में सूक्ष्म कीड़े थे जिन्हें स्वतंत्र रूप से कंपनी के विशेषज्ञों द्वारा खोजा गया था, सफलतापूर्वक अधिकतम सावधानियों के साथ बंद कर दिया गया था, जनता को सूचित किया गया था। लेकिन पूरा फेसबुक फेसबुक की "समस्या" पर चर्चा कर रहा है, लेकिन लगभग किसी ने ट्विटर पर बग पर ध्यान नहीं दिया। ऐसा कैसे? अब इसका पता लगाते हैं।

फेसबुक पर वास्तव में क्या हुआ?

खबर है । घटना के बारे में सामाजिक नेटवर्क की एक विस्तृत रिपोर्ट ।


और यहाँ क्या है। फेसबुक के पास (अधिक सटीक रूप से, यह अब काम नहीं कर रहा था, पोस्ट की शुरुआत में स्क्रीनशॉट देखें ) अस अस फ़ंक्शन देखें । सभी उपयोगकर्ताओं के लिए उपलब्ध, इसने आपको अपनी प्रोफ़ाइल देखने की अनुमति दी जैसे कि वह किसी अन्य व्यक्ति द्वारा देखी जा रही हो। कई गोपनीयता सेटिंग्स के कारण, यह एक उपयोगी सुविधा है: यह आपको यह समझने की अनुमति देता है कि अजनबी आपके पृष्ठ पर क्या देखते हैं और क्या नहीं।


एक महत्वपूर्ण बिंदु: पृष्ठ को एक यादृच्छिक आगंतुक की आँखों से देखा जा सकता है, या आप यह दिखा सकते हैं कि यह एक विशिष्ट उपयोगकर्ता के दृष्टिकोण से कैसा दिखता है, एक नाम और उपनाम के साथ। यह सटीक रूप से सटीक था जिसने डेवलपर्स को मठ में ले जाया।

फेसबुक, इंजीनियरिंग, सुरक्षा और गोपनीयता के उपाध्यक्ष पेड्रो कनौटी के अनुसार, तीन अलग-अलग जोखिम हैं। सबसे पहले, व्यू अस फ़ीचर में एक बग था। सिद्धांत रूप में, यह "रीड-ओनली" मोड में, "केवल उस उपयोगकर्ता के पृष्ठ को देखने के लिए है जिसके तहत आप लॉग इन हैं।" वास्तव में, व्यू अस मोड में, संदेश प्रकाशित करने के लिए एक फ़ील्ड भी उत्पन्न किया गया था। दूसरे, इस क्षेत्र ने सभी मामलों में काम नहीं किया (सही तरीके से), एक को छोड़कर: जब आप किसी व्यक्ति को जन्मदिन की शुभकामना देना चाहते हैं और एक वीडियो पोस्ट करते हैं। तीसरा, वीडियो पोस्ट करते समय, इस वीडियो को डाउनलोड करने के लिए कोड ने एक टोकन उत्पन्न किया, जिसका उपयोग मोबाइल एप्लिकेशन से एक्सेस टोकन के रूप में भी किया जा सकता है।

यही है, हमलावर के हिस्से पर परिदृश्य लगभग निम्नलिखित है। आप एक प्रोफ़ाइल बनाते हैं या किसी मौजूदा की सेटिंग को बदलते हैं ताकि आज आपका जन्मदिन हो (uiiii!)। दृश्य के रूप में फ़ंक्शन का उपयोग करना, अपना प्रोफ़ाइल किसी अन्य उपयोगकर्ता के रूप में खोलें। जब किसी अन्य उपयोगकर्ता की ओर से प्रोफ़ाइल का प्रदर्शन किया जाता है, तो वह (यह अन्य उपयोगकर्ता) आपको जन्मदिन की शुभकामनाएं देने और एक प्यारा वीडियो अपलोड करने के लिए आमंत्रित किया जाता है। वीडियो लोड करते समय, एक टोकन उत्पन्न होता है। आप इस टोकन को पेज कोड से लेते हैं और मोबाइल एप्लिकेशन में किसी अन्य उपयोगकर्ता के अधिकारों के साथ और उसके पास जाते हैं।

आगे की अटकलें थोड़ी शुरू होती हैं। उदाहरण के लिए, क्या आपको उस व्यक्ति से दोस्ती करनी है जिसकी ओर से आप अपना पेज "देखना" चाहते हैं? तृतीय-पक्ष साइटों पर (अब निष्क्रिय) सुविधाओं के विवरणों को देखते हुए - यह आवश्यक है। अब याद रखें कि कितने समय पहले आपको दोस्तों से पूछा गया था, जिन्हें आप नहीं जानते थे, लेकिन बहुत लगातार लोग? एक उपयोगकर्ता के टोकन तक पहुँच प्राप्त करने के बाद, आप उसके किसी एक मित्र के खाते में पहुँच कुंजियाँ चुरा सकते हैं। और इसलिए, सैद्धांतिक रूप से छह हैंडशेक के सिद्धांत द्वारा सीमित सीमा तक। जो कि लगभग असीमित है।

कूल, हह? यह दिलचस्प है कि शुक्रवार की रात (मॉस्को में) प्रकाशित फेसबुक संदेश उपयोगकर्ता की शिकायतों से अनुमान लगाया गया था कि वे दोनों फेसबुक से और अन्य सेवाओं के लिए लॉग आउट किए गए थे, जिसके लिए सामाजिक नेटवर्क खाते का उपयोग किया गया था। ये वही सावधानियां थीं जो फेसबुक ने प्रभावित उपयोगकर्ताओं पर लागू की थीं।

या संभवत: प्रभावित? हमें फेसबुक विशेषज्ञों को श्रद्धांजलि अर्पित करनी चाहिए - उन्होंने खोजी गई कमजोरियों के बारे में अधिक विस्तार से और जल्दी से जल्दी बात की। उनके अनुसार, 16 सितंबर को, उन्होंने संदिग्ध गतिविधि पर गौर किया, 25 तारीख को यह स्पष्ट हो गया कि क्या हो रहा है, 28 सितंबर को जानकारी को सार्वजनिक किया गया - पीड़ितों के "लॉगिंग आउट" के बाद (जो किसी भी चोरी किए गए टोकन को बेकार कर दिया)। लेकिन वास्तव में ये वही पीड़ित कैसे हुए - यहाँ फेसबुक ने विशेष रूप से बात नहीं की। शायद वे खुद नहीं जानते।

यह ज्ञात है कि जुलाई 2017 में सेवा कोड में भेद्यता दिखाई दी थी। फेसबुक ने पिछले सप्ताह 90 मिलियन उपयोगकर्ताओं को जबरन लॉग आउट किया। इनमें से 40 मिलियन ऐसे हैं, जिनके लिए व्यू अस फीचर लागू किया गया था, यानी उनकी ओर से किसी ने उनके पेज को देखा, जरूरी नहीं कि आपराधिक इरादों के साथ। अन्य 50 मिलियन वे हैं जो भेद्यता से "प्रभावित" हुए हैं। तो यह कुछ "प्रभावित" कैसे किया? प्रेस ब्रीफिंग के डिक्रिप्शन में अधिक जानकारी है: फेसबुक लगभग 50 मिलियन उपयोगकर्ताओं को जानता है कि उनके टोकन निकाले गए हैं। यही है, (अटकलें!) कुछ लोगों ने अपने जन्मदिन पर दृश्य के रूप में सुविधा का उपयोग किया, और फिर (शायद!) उसी आईपी से दूसरे खाते में लॉग इन किया। और सबसे अधिक संभावना है कि 16 सितंबर की "संदिग्ध गतिविधि", जिसका उल्लेख सोशल नेटवर्क के प्रतिनिधियों द्वारा किया गया था, बग के बड़े पैमाने पर स्वचालित शोषण का एक प्रयास था, जिसे एक सप्ताह से थोड़ा अधिक समय में रोक दिया गया था।

सामान्य तौर पर, फेसबुक ने समस्या पर बहुत अच्छी प्रतिक्रिया व्यक्त की। उन्होंने (जैसा कि वे कर सकते हैं) विस्तृत जानकारी साझा की, पीड़ितों (वास्तविक या संभावित) के संबंध में उपाय किए। 50 (या 90) मिलियन लोग - फेसबुक के पैमाने पर, यह ज्यादा नहीं है। हालांकि, सामाजिक नेटवर्क को दिए गए व्यक्तिगत डेटा की गोपनीयता के बारे में चिंता को देखते हुए, इस घटना पर बढ़ता ध्यान भी समझा जा सकता है। दो सकारात्मक बिंदु हैं। सबसे पहले, पासवर्ड चोरी नहीं हुए थे, और यदि किसी अन्य लोगों के खातों में कोई अवैध एक्सेस टूल उपलब्ध थे, तो उन्हें "कालीन ढीला" द्वारा नष्ट कर दिया गया था। दूसरे, भले ही आप कथित रूप से घायल हुए लोगों में से थे और भले ही किसी को आपके डेटा तक पहुंच प्राप्त हो, न कि वह सब कुछ जो फेसबुक आपके बारे में जानता है, उनके हाथों में था। क्योंकि फेसबुक उपयोगकर्ताओं के बारे में स्वयं के साथ भी वास्तविक ज्ञान साझा नहीं करता है।

और ट्विटर पिछले हफ्ते भाग्यशाली था।

ट्विटर पर क्या हुआ?

खबर है । सामाजिक नेटवर्क तकनीकी रिपोर्ट ।

एक तरह से, ट्विटर पर पाया जाने वाला बग फेसबुक पर पाया जाने वाला समान है। छेद एक एपीआई में पाया गया था जो कंपनियों को ग्राहकों के साथ संवाद करने की अनुमति देता है - सामान्य तौर पर, यह सामूहिक संदेश या व्यक्तिगत संदेश प्राप्त करने के लिए एक इंटरफ़ेस है। यदि आपने इस API का उपयोग करने वाले किसी व्यक्ति के साथ बात की है, तो कुछ परिस्थितियों में, आपका पत्राचार किसी तीसरे पक्ष के हाथों में हो सकता है।

ठीक है, यहां तक ​​कि इस रूप में यह भयभीत नहीं करता है। अभ्यास और भी उबाऊ है। सबसे पहले, केवल पंजीकृत ट्विटर भागीदार ही एपीआई का उपयोग कर सकते हैं। दूसरे, बग के लिए काम करने के लिए और निजी संदेशों को गलत करने के लिए , दोनों भागीदारों को एक ही आईपी पर बैठना चाहिए (ए) एपीआई का उपयोग करके URL के साथ काम करें जो स्लैश (www.xxx.com/twitter_msg और www.yyy) के बाद पूरी तरह से मेल खाता है .com / twitter_msg एक संयोग है), (c) छह मिनट तक सीमित अवधि में ट्विटर सर्वर तक पहुँच प्राप्त करना असफल है।


जब यह सब मेल खाता है, तो गाड़ी कद्दू में बदल जाती है। खराब तरीके से कॉन्फ़िगर किया गया ट्विटर कैश कहीं भी या कहीं भी संदेश भेजना शुरू कर देता है, जो कि नुकसान के अनूठे संयोग की कड़ाई से परिभाषित दिशा में है। सामान्य तौर पर, यह आश्चर्यजनक नहीं है कि फेसबुक बग ट्विटर छेद की तुलना में बहुत अधिक प्रतिध्वनि का कारण बना, हालांकि दोनों बग की विशेषताएं काफी समान हैं। वहाँ और वहाँ दोनों, जाहिरा तौर पर, एक जटिल बुनियादी ढांचे में कोड को अपडेट करते समय एक नज़र थी। यह संभावना है कि किसी ने उत्पादन में एक नई सुविधा को देखते हुए कुछ कोनों को काट दिया: ऐसा अक्सर होता है यदि कोई प्रबंधक आपके ऊपर से उड़ता है, तो शब्द "मेरे जन्मदिन के लिए मुझे जल्दी से कुछ मिलता है!"।

क्षति का पैमाना हड़ताली है। किसी भी कंपनी को छोटा लें, और कोई भी 5% दर्शकों के लिए भेद्यता का नोटिस नहीं करेगा। और यहाँ हम तुरंत दसियों लाख लोगों के बारे में बात कर रहे हैं। इसके बारे में क्या करना है? Kaspersky Lab ब्लॉग यथोचित कुछ भी नहीं करने की सलाह देता है। लंबे समय में, मैं निम्नलिखित अभ्यास की सलाह देता हूं। आप जो भी इंटरनेट पर भेजते हैं, यहां तक ​​कि सबसे निजी-निजी सेवा तक, एक पल के लिए कल्पना करें कि आप अपने शहर के सभी पोस्ट पर एक ही संदेश पोस्ट कर रहे हैं। यदि इस तरह के संदर्भ में कोई संदेश हानिरहित नहीं लगता है, तो शायद इसे भेजने के लायक नहीं है।

डिस्क्लेमर: इस डाइजेस्ट में व्यक्त की गई राय हमेशा कास्परस्की लैब की आधिकारिक स्थिति से मेल नहीं खा सकती है। प्रिय संपादकों आमतौर पर स्वस्थ संदेह के साथ किसी भी राय का इलाज करने की सलाह देते हैं।