Odborník na bezpečnost Carlos Reventlov zveřejnil v pátek informace o potenciální možnosti útoku na službu Facebooku Instagram. Chyba v programu by mohla hackerům pomoci převzít kontrolu nad uživatelskými účty majitelů iPhonů.
Testovací útok byl proveden právě Reventlovem, který využíval zranitelnosti, již nalezl v Instagramu v půli listopadu. Na problém upozornil vývojáře Instagramu 11. listopadu, nicméně do minulého čtvrtka stále nebyl vyřešen.
Zranitelnost se týká aplikace Instagram ve verzi 3.1.2, která byla vydána 23. října pro iPhone. Reventlov zjistil, že některé citlivé aktivity, jako přihlašování a úprava profilu, jsou sice v rámci Instagramu šifrovány, nicméně jiné typy dat byly zasílány v prostém textu. Vyzkoušel tedy dva testovací útoky na iPhone 4 s iOS 6, kde problém poprvé zaregistroval.
„Ve chvíli, kdy oběť spustí aplikaci Instagram, je cookie v prostém textu odesláno na server Instagramu,“ napsal Reventlov. „Jakmile se útočník dostane k tomuto cookie, je schopen vytvořit speciální HTTP požadavky pro získání dat a smazání fotografií.“
Cookie v prostém textu může být zachyceno útokem typu man-in-the-middle ve chvíli, kdy je hacker připojen na stejnou lokální síť LAN jako jeho oběť. Jakmile cookie získá, může hacker mazat nebo stahovat fotografie, případně přistupovat k fotografiím jiné osoby, která je mezi přáteli oběti.
Reventlov pokračoval ve studiu potenciálu zranitelnosti a zjistil, že problém s cookies by mohl hackerovi taktéž umožnit převzít kontrolu nad účtem oběti. Opět by ale útočník musel být na stejné síti LAN jako jeho oběť.
Potenciální zneužití využívá metody zvané ARP spoofing, kdy je webový provoz mobilního zařízení oběti směřován skrze počítač útočníka. Podle Reventlova je pak možné zachytit ono cookie v prostém textu.
Za použití jiného nástroje pro modifikaci headerů webového prohlížeče při přenosu na servery Instagramu je možné se poté přihlásit jako oběť a změnit emailovou adresu oběti, což má za následek zničený účet. Podle Reventlova by byla oprava ze strany Instagramu jednoduchá – stačilo by pro API požadavky s citlivými daty vždy používat protokol HTTPS.
„Zjistil jsem, že k takovým věcem je náchylných spousta aplikací pro iPhone, ale žádná není tak používaná jako Instagram,“ napsal Reventlov v emailu IDG News Service.
Do pondělka se nepodařilo sehnat vyjádření vedení Instagramu ani Facebooku. Reventlov napsal, že když Instagram na problém upozornil, dostalo se mu automatické odpovědi.
Zdroj: IDG News Service
PŘEDPLATNÉ
ČLÁNKY DO MAILU