Propust u privatnosti Facebooka omogućava špijuniranje korisnika

Društvene mreže, 21.03.2012, 09:13 AM

Dvojica istraživača iz Velike Britanije, Šah Mahmud i Ivo Desmed, predstavili su u ponedeljak na internacionalnoj radionici posvećenoj bezbednosti i društvenom umrežavanju SESOC 2012 koja se održava u Luganu, u Švajcarskoj svoje otkriće "zero day" propusta koji se tiče privatnosti korisnika Facebook-a.

Propust koga su istraživači označili sa “Deactivated Friend Attack” (“Napad deaktiviranog naloga”) mogu zloupotrebljavati pojedinci i grupe zainteresovane za prikupljanje podataka, uključujući oglašivače, vladine agencije, hakere, spamere i kriminalce.

Najveći problem za napadača je da ubedi korisnika da prihvati zahtev za prijateljstvo. Sve posle toga ide dosta lako. Kada je zahtev za prijateljstvo prihvaćen, napadač može beskonačno dugo da onemogućava korisnika u pokušaju da ga ukloni sa liste prijatelja tako što će deaktivirati nalog čime postaje nevidljiv za korisnika i nemoguće ga je ukloniti sa liste prijatelja ili dodati na listu na kojoj se nalaze prijatelji sa određenim stepenom restrikcije pristupa podacima.

Deaktivacija profila na Facebook-u je privremena, tako da napadač može ponovo aktivirati i deaktivirati nalog beskonačni broj puta. Korisnik koji želi da ga ukloni sa liste prijatelja neće dobijati obaveštenje o aktivnostima aktivacije i deaktivacije spornog naloga.

Ovo znači da će svaki put kada napadač aktivira svoj nalog, informacije koje se nalaze na profilu žrtve biti dostupne za pregledavanje. Jedini način da se napadač ukloni sa liste prijatelja je da se to uradi u kratkom vremenskom periodu tokom kojeg je nalog napadača aktivan.

Korisnici Facebook-a često dodaju svojim listama prijatelja ljude koje ne poznaju u realnom životu. Neki od novih “prijatelja” mogu imati ne baš najbolje namere.

Predlog istraživača koji bi ispravio ovaj propust zahteva izvesne promene i intervenciju Facebook-a. Oni smatraju da bi bilo svrsishodno obaveštavati korisnike o aktivaciji i deaktivaciji profila prijatelja ili onemogućiti ponovnu aktivaciju naloga što su izmene koje ne treba očekivati od Facebook-a. Dakle, briga o privatnosti ostaje na korisnicima. Dobro razmislite pre nego što sledeći put odobrite zahtev za prijateljstvo na Facebook-u nekom koga ne poznajete.