Проблема безопасности в одной из самых популярных социальных сетей мира – Facebook, была обнаружена исследователем безопасности из Непала, Самипом Арьялом. Эта уязвимость позволяла злоумышленникам получить контроль над учетными записями пользователей путем манипулирования процессом сброса пароля.

Слабые места механизма сброса пароля:

  1. Длительность действия кода: Код для сброса пароля оставался действительным в течение целых двух часов, что давало достаточно времени для перебора шестизначного кода аутентификации.
  2. Постоянство кода: Один и тот же код отправлялся каждый раз в течение этого времени, что упрощало задачу злоумышленникам.
  3. Возможность неограниченного количества попыток: Злоумышленник мог использовать столько неправильных кодов, сколько необходимо, открывая дверь для атак методом перебора.

Уведомление о сбросе пароля иногда возвращалось в виде открытого текста, что делало процесс захвата учетной записи невидимым для реального владельца в учетной записи. В других случаях уведомление требовало взаимодействия с пользователем, что делало атаку более сложной, но не невозможной.

После успешного взлома учетной записи, злоумышленник мог сбросить пароль и получить полный контроль над учетной записью, включая возможность установки нового пароля и отключения многофакторной аутентификации.

Facebook признал уязвимость и быстро реагировал на нее. Социальная сеть высоко оценила отчет Арьяла, включив его в зал славы Facebook по борьбе с ошибками. Они также пересмотрели свою систему вознаграждения исследователей по безопасности, учитывая новые методы атаки.

Советы по безопасности для пользователей:

  • Включите многофакторную аутентификацию для защиты вашей учетной записи.
  • Будьте осторожны при получении запросов на сброс пароля или других подозрительных запросов, связанных с вашей учетной записью.
  • Если есть сомнения, выполните процедуру сброса пароля самостоятельно и используйте надежные методы многофакторной аутентификации, такие как приложения для проверки подлинности, вместо SMS.

Уязвимости в механизмах сброса паролей могут привести к серьезным последствиям для пользователей социальных сетей. Обнаружение и реагирование на такие уязвимости играют ключевую роль в обеспечении безопасности онлайн-платформ.

Источник: Bitdefender

В случае возникновения дополнительных вопросов, пожалуйста, обращайтесь по электронному адресу sales@softico.ua или по телефону +380 (44) 383 4410.