Ένας αναλυτής ασφάλειας βρήκε ένα Bug στην διαδικασία ανάκτησης λογαριασμού του Instagram που πιθανόν να έχει εκθέσει πολλούς λογαριασμούς σε κίνδυνο.
Ο αναλυτής Laxman Muthiyah ανακάλυψε το σφάλμα ενώ ερευνούσε τον τρόπο με τον οποίο η εφαρμογή σου επιτρέπει να ανακτήσεις πρόσβαση στον λογαριασμό σου αφού έχεις ξεχάσει τον κωδικό. Για την ταυτοποίηση, το Instagram στέλνει έναν τυχαίο εξαψήφιο αριθμό με SMS στο τηλέφωνο του χρήστη, ο οποίος δίνει πρόσβαση στον λογαριασμό.
Ο ερευνητής αναρωτήθηκε αν θα μπορούσε κανείς να χρησιμοποιήσει την τεχνική “brute force” για να προσπεράσει το σύστημα. Σε αυτή την μέθοδο, εισάγονται χιλιάδες τυχαίοι συνδυασμοί μέχρι να βρεθεί ο σωστός. Στην περίπτωση αυτή το κόλπο δούλεψε, αλλά υπάρχουν συγκεκριμένες συνθήκες που κάνουν την όλη διαδικάσια αρκετά περίπλοκη.
Πιο συγκεκικριμένα, το Instagram έχει περιορισμούς στην εισαγωγή αυτών των κωδικών. Έτσι, έχεις ένα όριο 250 προσπαθειών ανά διεύθυνση IP που πρέπει να γίνουν εντός του χρονικού περιθωρίου των δέκα λεπτών.
Για να μαντέψει κανείς έναν εξαψήφιο κωδικό θα πρέπει να δοκιμάσει περίπου ένα εκατομμύριο διαφορετικούς συνδυασμούς. Αυτό το νούμερο είναι αρκετό για να κρατήσει το σύστημα ασφαλές απο έναν απλό χρήστη. Ωστόσο ο Mutiyah βρήκε έναν τρόπο να αυτοματοποιήσει την διαδικασία. Γράφοντας ένα πρόγραμμα μπόρεσε να εισάγει τεράστιο όγκο τυχαίων συνδυασμών από μια λίστα διαφορετικών διευθύνσεων IP.
Αν χρησιμοποιείς κάποια υπηρεσία cloud από την Amazon ή την Google τότε θα σου κοστίσει περίπου 150$ για να κάνεις μία πλήρης επίθεση του ενός εκατομμυρίου κωδικών.” Είπε σε σχετικό Blog.
Τα καλά νέα είναι ότι το Instagram διόρθωσε το πρόβλημα. Ο Mythiyah είπε στο PCMag ότι η εφαρμογή πλέον μπλοκάρει τον αριθμό των κωδικών που μπορεί να εισάγει ο χρήστης ανεξάρτητα από την διεύθυνση IP.
Σε email, το Instagram είπε στο PCMag: “Έχουμε επιδιορθώσει το πρόβλημα και δεν έχουμε βρει κανένα στοιχείο εκμετάλλευσης του. Ήμαστε ευγνώμων στον αναλυτή που βοήθησε στον εντοπισμό του προβλήματος.” Η Facebook, στην οποία ανήκει το Instagram, εχει ένα πρόγραμμα στο οποίο ανταμοίβει την εύρεση Bugs μέσω του Bugcrowd, το οποίο χορήγησε 30.000$ στον Muthiyah για την ανακάλυψη του.
[via]
![[Valid Atom 1.0]](https://1.bp.blogspot.com/-fG8cTvsVKPE/Xh7SQm9ylMI/AAAAAAAATNQ/q9GFKOwU4d4NEVnk3VU6CYlc2574PXfbACLcBGAsYHQ/s1600/4l99vk9.png "Validate my Atom 1.0 feed"){kind=small}
Post a Comment