Instagram ima ozbiljan sigurnosni propust, napadači mogu da hakuju bilo koji Instagram nalog za samo 10 minuta

Društvene mreže, 16.07.2019, 02:30 AM

Instagram ima ozbiljan sigurnosni propust, napadači mogu da hakuju bilo koji Instagram nalog za samo 10 minuta

Instagram je ispravio sigurnosni propust koji je mogao omogućiti hakerima da kompromituju bilo koji Instagram nalog bez ikakve pomoći korisnika.

Detalji o ovoj kritičnoj ranjivosti Instagrama pojavili su se juče na internetu. Ona bi mogla omogućiti udaljenom napadaču da resetuje lozinku za bilo koji Instagram nalog i preuzme potpunu kontrolu nad njim.

Ranjivost je otkrio i Instagramu prijavio indijski lovac na nagrade za bagove Laksman Muthijah. Problem je u mehanizmu za oporavak lozinke koji je implementiran u mobilnu verziju Instagrama.

„Poništavanje lozinke“ ili „oporavak lozinke“ je funkcija koja omogućava korisnicima da ponovo dobiju pristup svom nalogu na web sajtu u slučaju da su zaboravili svoju lozinku.

Na Instagramu, korisnici moraju da potvrde šestocifreni tajni pristupni kod (koji ističe posle 10 minuta) koji se šalje na odgovarajući mobilni broj ili email nalog kako bi dokazali svoj identitet.

To znači da jedna od milion kombinacija može da otključa bilo koji Instagram nalog napadom brutalnom silom, ali to nije tako jednostavno kao što zvuči, jer Instagram ima ograničenje koje sprečava pokušaje takvih napada.

Međutim, Laksman je otkrio da se ovo ograničenje može zaobići slanjem zahteva sa različitih IP adresa i slanjem istovremenih zahteva za obradu više pokušaja istovremeno.

Laksman je objavio video u kome je pokazao kako bi izgledalo preotimanje Instagram naloga sa 200000 različitih kombinacija pristupnih kodova bez blokiranja.

U slučaju pravog napada, napadaču je potrebno 5000 IP adresa da hakuje nalog. Zvuči mnogo, ali to je stvarno lako ako koristite cloud usluge Amazona ili Googlea. Napad sa milion kodova bi koštao oko 150 dolara.

Laksman je takođe objavio dokazni koncept za ranjivost, koju je Instagram ispravio. Kompanija je nagradila Laksmana sa 30000 dolara.

Da bi zaštitili svoje naloge od različitih vrsta napada, kao i da bi smanjili šanse napadača da kompromituju njihove naloge kada direktno napadaju ranjive aplikacije, korisnicima se preporučuje da omoguće „dvofaktornu autentifikaciju“, što može sprečiti hakere da pristupe nalogu čak i ako im nekako uspe da ukradu lozinku.


Prijavite se na našu mailing listu i primajte najnovije vesti (jednom dnevno) putem emaila svakog radnog dana besplatno:

Izdvojeno

TikTok pod istragom zbog privatnosti korisnika

TikTok pod istragom zbog privatnosti korisnika

TikTok je pod istragom Irske komisije za zaštitu podataka (DPC), vodećeg regulatornog tela u Evropske unije, zbog dva pitanja vezana za privatnost.... Dalje

Twitter uvodi oznake za bot naloge

Twitter uvodi oznake za bot naloge

Tviter je najavio uvođenje oznaka za automatizovane (bot) naloge, tačnije funkciju koja omogućava da se nalozi označe kao bot nalozi, kako bi lju... Dalje

Moraćete da otkrijete Instagramu datum rođenja inače nećete moći da koristite aplikaciju

Moraćete da otkrijete Instagramu datum rođenja inače nećete moći da koristite aplikaciju

Instagram će uskoro početi da traži od korisnika datum rođenja da bi mogli da nastave da koriste aplikaciju. Instagram je počeo da zahteva datum ... Dalje

Prevaranti naplaćuju 60 dolara uslugu zabrane Instagram naloga

Prevaranti naplaćuju 60 dolara uslugu zabrane Instagram naloga

Neko vas je naljutio na Instagramu? Prevaranti možda imaju savršeno rešenje za vas, po relativno pristupačnoj ceni. Motherboard piše da je sajber... Dalje

Facebook, Twitter i LinkedIn preduzimaju mere za zaštitu naloga građana Avganistana od napada talibana

Facebook, Twitter i LinkedIn preduzimaju mere za zaštitu naloga građana Avganistana od napada talibana

Facebook, Twitter i LinkedIn su rekli da su preduzeli mere kako bi naloge avganistanskih građana zaštitili od napada nakon što su talibani preuzeli... Dalje