Facebook ispravio propust koji je omogućavao resetovanje lozinki naloga korisnika

Društvene mreže, 08.03.2016, 01:00 AM

Facebook ispravio propust koji je omogućavao resetovanje lozinki naloga korisnika

Facebook je isplatio 15000 dolara istraživaču koji je otkrio propust koji je bilo moguće iskoristiti za hakovanje naloga na društvenoj mreži bez ikakve interakcije korisnika. On je ustvari otkrio jednostavan način za resetovanje lozinki naloga korisnika društvene mreže, promenu lozinke i preuzimanje profila.

Anand Prakaš iz Indije opisao je ovaj propust na svom blogu kao običan brute-force napad na formu za oporavak lozinke. To je moguće izvesti ali ne na glavnom Facebookovom sajtu koji je zaštićen od ovakvih automatizovanih napada.

Kada korisnik zaboravi lozinku za svoj Facebook nalog, on u formu mora da unese svoju email adresu ili broj telefona, povezan sa Facebook nalogom, da bi mu bio poslat šestocifreni kod putem SMS poruke. Taj kod se zatim unosi u formu za resetovanje lozinke da bi bio omogućen pristup stranici na kojoj se može promeniti lozinka.

Kada bi neko pokušao da pogodi šestocifreni kod na Facebookovom sajtu (facebook.com), bio bi blokiran posle 10 do 12 neuspešnih pokušaja.

Prakaš je otkrio da ova zaštita od brute-force napada ne radi na Facebookovoj beta platformi (beta.facebook.com) na kojoj se testira većina Facebookovih funkcija pre nego što one budu dostupne na glavnoj platformi.

Uz pomoć jednostavnog brute-force alata, Prakaš je isprobao sve moguće kombinacije dok nije pogodio ispravan šestocifreni kod. Facebook beta platforma ne blokira korisnike koji ne unesu ispravan kod posle 10-12 pokušaja. Prakaš je uspeo da resetuje lozinku svog naloga a to bi mogao da uradi i sa nalogom nekog drugog korisnika. Jedini uslov je da napadač zna broj telefona ili email adresu povezanu sa nalogom koji je cilj napada.

Prakaš je ovaj propust Facebooku prijavio 22. februara, a kompanija ga je već sutradan ispravila. Međutim, ostalo je pitanje zašto beta i glavna platforma nemaju istu zaštitu i ispravke bagova, i koliko još bezbednosnih propusta postoji na beta platformi koji su ispravljeni na glavnoj platformi.


Prijavite se na našu mailing listu i primajte najnovije vesti (jednom dnevno) putem emaila svakog radnog dana besplatno:

Izdvojeno

''Nije do vas, do nas je'': Instagram će ubuduće obaveštavati korisnike o ''tehničkim problemima''

''Nije do vas, do nas je'': Instagram će ubuduće obaveštavati korisnike o ''tehničkim problemima''

Instagram je najavio nove funkcije koje će ljudima pružiti više informacija direktno u aplikaciji kada “nešto krene naopako”. Instagra... Dalje

Instagram najavio da će podsticati tinejdžere da ''odmore'' od Instagrama

Instagram najavio da će podsticati tinejdžere da ''odmore'' od Instagrama

Instagram će uvesti nove mere kako bi tinejdžere odvratio od štetnog sadržaja i podstakao ih da “predahnu”, izjavio je potpredsednik ... Dalje

Na Telegramu se besplatno dele podaci 700 miliona korisnika LinkedIna

Na Telegramu se besplatno dele podaci 700 miliona korisnika LinkedIna

Baza podataka koja sadrži podatke o više od 700 miliona korisnika, za koje se veruje da su prikupljeni sa LinkedIna, procurila je ove nedelje, tri m... Dalje

Facebook uvodi promene u kontrolama kolačića za korisnike u Evropi

Facebook uvodi promene u kontrolama kolačića za korisnike u Evropi

Facebook je najavio promene u kontrolama saglasnosti za kolačiće u Evropi sa ciljem da korisnicima omogući veću kontrolu nad privatnošću, ali... Dalje

Facebook demantuje izveštaje da je namerno odlagao rešavanje ozbiljnih problema na svojim platformama

Facebook demantuje izveštaje da je namerno odlagao rešavanje ozbiljnih problema na svojim platformama

Facebook tvrdi da je od 2016. godine potrošio više od 13 milijardi dolara na bezbednost i zaštitu, kao i da se 40.000 zaposlenih u kompaniji bavi i... Dalje