Instagram ima ozbiljan sigurnosni propust, napadači mogu da hakuju bilo koji Instagram nalog za samo 10 minuta

Društvene mreže, 16.07.2019, 02:30 AM

Instagram ima ozbiljan sigurnosni propust, napadači mogu da hakuju bilo koji Instagram nalog za samo 10 minuta

Instagram je ispravio sigurnosni propust koji je mogao omogućiti hakerima da kompromituju bilo koji Instagram nalog bez ikakve pomoći korisnika.

Detalji o ovoj kritičnoj ranjivosti Instagrama pojavili su se juče na internetu. Ona bi mogla omogućiti udaljenom napadaču da resetuje lozinku za bilo koji Instagram nalog i preuzme potpunu kontrolu nad njim.

Ranjivost je otkrio i Instagramu prijavio indijski lovac na nagrade za bagove Laksman Muthijah. Problem je u mehanizmu za oporavak lozinke koji je implementiran u mobilnu verziju Instagrama.

„Poništavanje lozinke“ ili „oporavak lozinke“ je funkcija koja omogućava korisnicima da ponovo dobiju pristup svom nalogu na web sajtu u slučaju da su zaboravili svoju lozinku.

Na Instagramu, korisnici moraju da potvrde šestocifreni tajni pristupni kod (koji ističe posle 10 minuta) koji se šalje na odgovarajući mobilni broj ili email nalog kako bi dokazali svoj identitet.

To znači da jedna od milion kombinacija može da otključa bilo koji Instagram nalog napadom brutalnom silom, ali to nije tako jednostavno kao što zvuči, jer Instagram ima ograničenje koje sprečava pokušaje takvih napada.

Međutim, Laksman je otkrio da se ovo ograničenje može zaobići slanjem zahteva sa različitih IP adresa i slanjem istovremenih zahteva za obradu više pokušaja istovremeno.

Laksman je objavio video u kome je pokazao kako bi izgledalo preotimanje Instagram naloga sa 200000 različitih kombinacija pristupnih kodova bez blokiranja.

U slučaju pravog napada, napadaču je potrebno 5000 IP adresa da hakuje nalog. Zvuči mnogo, ali to je stvarno lako ako koristite cloud usluge Amazona ili Googlea. Napad sa milion kodova bi koštao oko 150 dolara.

Laksman je takođe objavio dokazni koncept za ranjivost, koju je Instagram ispravio. Kompanija je nagradila Laksmana sa 30000 dolara.

Da bi zaštitili svoje naloge od različitih vrsta napada, kao i da bi smanjili šanse napadača da kompromituju njihove naloge kada direktno napadaju ranjive aplikacije, korisnicima se preporučuje da omoguće „dvofaktornu autentifikaciju“, što može sprečiti hakere da pristupe nalogu čak i ako im nekako uspe da ukradu lozinku.


Prijavite se na našu mailing listu i primajte najnovije vesti (jednom dnevno) putem emaila svakog radnog dana besplatno:

Izdvojeno

Facebook uklonio sa platforme 3,2 milijarde lažnih naloga i milione objava sa zlostavljanjem dece

Facebook uklonio sa platforme 3,2 milijarde lažnih naloga i milione objava sa zlostavljanjem dece

Facebook je u periodu od aprila do septembra ove godine sa svoje platforme uklonio 3,2 milijarde lažnih naloga, zajedno sa milionima objava koje prik... Dalje

Facebook ispravio bag u aplikaciji za iOS zbog kog se uključivala kamera telefona bez dozvole korisnika

Facebook ispravio bag u aplikaciji za iOS zbog kog se uključivala kamera telefona bez dozvole korisnika

Neki korisnici Facebookove aplikacije za iOS žalili su se na društvenim mrežama da aplikacija, bez znanja korisnika, aktivira kameru pametnog telef... Dalje

Neki korisnici iPhonea tvrde da Facebook krišom uključuje kameru telefona

Neki korisnici iPhonea tvrde da Facebook krišom uključuje kameru telefona

Na društvenim mrežama pojavili su se korisnici iPhone uređaja koji se žale da aplikacija Facebook krišom aktivira kameru pametnog telefona u poza... Dalje

Dva radnika Twittera optužena za špijuniranje korisnika

Dva radnika Twittera optužena za špijuniranje korisnika

Dvojica bivših radnika Twittera optužena su za špijuniranje hiljade korisničkih naloga na Twitteru u ime vlade Saudijske Arabije, verovatno sa cil... Dalje

Facebook priznao da ponovo nije uspeo da zaštiti podatke korisnika, aplikacije pristupale podacima članova grupa

Facebook priznao da ponovo nije uspeo da zaštiti podatke korisnika, aplikacije pristupale podacima članova grupa

Facebook je saopštio da je na svojoj platformi otkrio propust koji je nekim programerima aplikacija omogućio pristup podacima u grupama kojima nje ... Dalje