Уязвимость в механизме сброса паролей позволяет взломать любую учетную запись Facebook

Проблема заключается в алгоритме, применяемом соцсетью для генерации произвольных шестизначных паролей.




Исследователь из Калифорнии Гуркират Сингх (Gurkirat Singh) продемонстрировал простой метод взлома любой учетной записи Facebook, работающий в независимости от сложности установленного пароля и наличия дополнительной защиты.


Эксперт обнаружил уязвимость в механизме сброса паролей Facebook, проэксплуатировав которую злоумышленник может получить полный доступ к учетной записи любого пользователя и выполнять различные действия, в том числе просматривать сообщения и данные платежных карт, публиковать информацию и т.д. По словам Сингха, атака довольно проста по сути, но сложна в плане реализации.


Проблема заключается в алгоритме, применяемом соцсетью для генерации произвольных шестизначных паролей (1 млн возможных комбинаций). По словам Сингха, каждый раз система генерирует одни и те же пароли до тех пор, пока не будет использована вся база.


«Таким образом, если 1 млн пользователей в течение короткого периода времени отправят запросы на сброс пароля, 1,000,0001 человек получит код, который уже используется для какой-то учетной записи», - пояснил Сингх.


На первом этапе с помощью Facebook Graph API исследователь собрал базу валидных идентификаторов пользователей Facebook, начиная с 100,000,000,000,000. Используя страницу www.facebook.com/[ID], он смог составить список из 2 млн действительных логинов подписчиков соцресурса. Далее при помощи скрипта, сотен прокси и произвольных данных User Agent, Сингх инициировал автоматические запросы на сброс пароля для этих 2 млн пользователей и, выбрав один из полученных кодов (338625), осуществил брутфорс-атаку с целью подобрать комбинацию логин/338625. В результате эксперту удалось переустановить пароль и получить доступ к произвольной учетной записи Facebook.


Свои наработки Сингх передал специалистам Facebook. Руководство соцсети признало наличие проблемы и выплатило исследователю вознаграждение в размере всего $500, так как посчитало уязвимость недостаточно опасной.


Напомним, в марте нынешнего года эксперт Ананд Пракаш (Anand Prakash) сообщил о похожей уязвимости в механизме сброса паролей Facebook, позволяющей подобрать шестизначный код аутентификации при помощи метода брутфорс. 
Stfw.Ru
Читайте также


Оставить комментарий
Имя:  

Комментарий:

Примечание: При комментировании материала просим соблюдать законы Российской Федерации. Пожалуйста, воздержитесь от оскорблений и токсичного поведения.

Сводка событий

14:06 Опубликованы изображения синего Xiaomi Redmi 6 Pro


14:06 Компания Teclast выпустила планшет с экраном 7,9 дюйма


14:06 Tronsmart Element Pixie — портативная колонка с пассивными радиаторами


09:06 VAIO возвращается: первый взгляд на ноутбуки VAIO S11 и S13


09:06 Законопроект о борьбе с угрозами нацбезопасности в информационной сфере предлагает наделить СБУ правом блокировать сайты без решения суда сроком на 48 часов


09:06 «Втрое дешевле, чем у Lockheed Martin и Boeing»: SpaceX заполучила первый военный контракт для Falcon Heavy


09:06 Скоро в инсайдерских сборках Windows 10 появится "Центр управления"


09:06 Планшет Xiaomi Mi Pad 4 узнает владельца по лицу


09:06 Опубликованы параметры смартфона Microsoft Andromeda


09:06 Опубликованы качественные рендеры Samsung Galaxy Note 9


09:06 Недорогой смартфон Vivo Y81 представлен официально


09:06 В iPhone не останется разъемов и кнопок


09:06 Xiaomi Redmi 6 Pro показали на «живых» снимках


Обзор безопасности, новые вирусы, уязвимости в сети. Взлом и защита компьютера, хакерские атаки.