Instagram ima ozbiljan sigurnosni propust, napadači mogu da hakuju bilo koji Instagram nalog za samo 10 minuta

Društvene mreže, 16.07.2019, 02:30 AM

Instagram ima ozbiljan sigurnosni propust, napadači mogu da hakuju bilo koji Instagram nalog za samo 10 minuta

Instagram je ispravio sigurnosni propust koji je mogao omogućiti hakerima da kompromituju bilo koji Instagram nalog bez ikakve pomoći korisnika.

Detalji o ovoj kritičnoj ranjivosti Instagrama pojavili su se juče na internetu. Ona bi mogla omogućiti udaljenom napadaču da resetuje lozinku za bilo koji Instagram nalog i preuzme potpunu kontrolu nad njim.

Ranjivost je otkrio i Instagramu prijavio indijski lovac na nagrade za bagove Laksman Muthijah. Problem je u mehanizmu za oporavak lozinke koji je implementiran u mobilnu verziju Instagrama.

„Poništavanje lozinke“ ili „oporavak lozinke“ je funkcija koja omogućava korisnicima da ponovo dobiju pristup svom nalogu na web sajtu u slučaju da su zaboravili svoju lozinku.

Na Instagramu, korisnici moraju da potvrde šestocifreni tajni pristupni kod (koji ističe posle 10 minuta) koji se šalje na odgovarajući mobilni broj ili email nalog kako bi dokazali svoj identitet.

To znači da jedna od milion kombinacija može da otključa bilo koji Instagram nalog napadom brutalnom silom, ali to nije tako jednostavno kao što zvuči, jer Instagram ima ograničenje koje sprečava pokušaje takvih napada.

Međutim, Laksman je otkrio da se ovo ograničenje može zaobići slanjem zahteva sa različitih IP adresa i slanjem istovremenih zahteva za obradu više pokušaja istovremeno.

Laksman je objavio video u kome je pokazao kako bi izgledalo preotimanje Instagram naloga sa 200000 različitih kombinacija pristupnih kodova bez blokiranja.

U slučaju pravog napada, napadaču je potrebno 5000 IP adresa da hakuje nalog. Zvuči mnogo, ali to je stvarno lako ako koristite cloud usluge Amazona ili Googlea. Napad sa milion kodova bi koštao oko 150 dolara.

Laksman je takođe objavio dokazni koncept za ranjivost, koju je Instagram ispravio. Kompanija je nagradila Laksmana sa 30000 dolara.

Da bi zaštitili svoje naloge od različitih vrsta napada, kao i da bi smanjili šanse napadača da kompromituju njihove naloge kada direktno napadaju ranjive aplikacije, korisnicima se preporučuje da omoguće „dvofaktornu autentifikaciju“, što može sprečiti hakere da pristupe nalogu čak i ako im nekako uspe da ukradu lozinku.


Prijavite se na našu mailing listu i primajte najnovije vesti (jednom dnevno) putem emaila svakog radnog dana besplatno:

Izdvojeno

Facebook vas više neće špijunirati, ali mu morate sami reći da prestane sa tim

Facebook vas više neće špijunirati, ali mu morate sami reći da prestane sa tim

Dobre vesti za korisnike Facebooka, ali loše za oglašivače i izdavače čije se poslovanje oslanja na Facebook oglase. Nakon skandala sa Cambridge ... Dalje

Facebook menja postavke za grupe

Facebook menja postavke za grupe

Facebook je juče najavio da će ažurirati postavke privatnosti za grupe, kako za zatvorene tako i za one javne. Iz Facebooka kažu da je ova promena... Dalje

Facebook plaća stotine ljudi da bi slušali audio snimke korisnika Messengera

Facebook plaća stotine ljudi da bi slušali audio snimke korisnika Messengera

Facebook plaća na stotine ljudi kao saradnike angažovane na poslovima transkripcije audio snimaka korisnika njegovih servisa, rekli su Bloombergu n... Dalje

Facebook tužio programere Android aplikacija zbog prevare sa oglasima

Facebook tužio programere Android aplikacija zbog prevare sa oglasima

Facebook je podneo tužbu protiv dvojice programera Android aplikacija zbog toga što su koristili pametne telefone korisnika za lažne klikove na Fac... Dalje

Sud presudio: Sajtovi bi mogli biti odgovorni za Facebookovo praćenje njihovih posetilaca

Sud presudio: Sajtovi bi mogli biti odgovorni za Facebookovo praćenje njihovih posetilaca

Vrhovni sud Evropske unije smatra da bi se vlasnici web sajtova mogli suočiti sa pravnim posledicama zbog sveprisutnog Facebookovog tastera „Li... Dalje