Sikkerhetshull i Facebook

[int20h]

Det oppdagede hullet i Facebook er neppe noen overraskelse for de som forstår litt webprogrammering.

 

Les mer

[Leeroymonster]

Har alltid vært litt skeptisk til Facebook, men jeg var da dum nok til å lage en bruker.

[Sideri]

Har alltid vært litt skeptisk til Facebook, men jeg var da dum nok til å lage en bruker.

 

De fleste føler nok med deg her :/ Meg inkludert...

[S-r-ex]

Alltid vært skeptisk til Facebook, og kommer alltid til å være det. Ikke pokker om jeg lager bruker der med mindre jeg får plutselig trang til å legge ut kontonummer og passord...

[Thomas Toget]

Hmm.. Eg klarte plutselig ikke å logge inn på facebook lenger, og fikk en epost fra facebook.com som sa at de hadde tilbakestilt passordet mitt på grunn av en sikkerhets-etellerana... Eg har også skrevet i diverse gjestebøker til venner om en flott internettside som selger diverse skumle ting en kan røyke...

 

Så eg har heilt sikkert havna borti en sånn phishing(kordan stava en det?) side då? Og eg som pleia å være så forsiktig, nei og nei

[SeaLion]

Hmm, det er da vel ingen som poster kontonummer og passord noen steder på nettet? Heller ikke på Facebook? Eller tror dere virkelig at intelligensen deres ville renne ut av nesa deres straks dere opprettet en Facebook-konto?

[Leeroymonster]

Hmm.. Eg klarte plutselig ikke å logge inn på facebook lenger, og fikk en epost fra facebook.com som sa at de hadde tilbakestilt passordet mitt på grunn av en sikkerhets-etellerana... Eg har også skrevet i diverse gjestebøker til venner om en flott internettside som selger diverse skumle ting en kan røyke...

 

Så eg har heilt sikkert havna borti en sånn phishing(kordan stava en det?) side då? Og eg som pleia å være så forsiktig, nei og nei

 

Det er ikke tilfedligvis en nettside for legemidler (fra Canada eller noe)? Flere i vennelista mi som har blitt hacka. Sender automatisk ut reklame/linker til alle venner og grupper man er medlmem i.

[Sam_Oslo]

Cros-site-scripting er ikke et nytt problem, det har vært kjent i flere år og jeg nekter å tro at at de har klart å overse det.

 

Jeg tror at dette dreie seg om noe annet, nemlige de har omvandlet hele Facebook til en gigantisk reklame service, og i denne prosessen har mange profiler kommet til avveier. Nå prøver de å bortforklare det med dette, men uansett, det finnes etablerte rutiner for å fikse cross-site-scripting i løpe av kort tid.

Endret 26. mai 2008 av Sam_Oslo

[Jon Ivar]

Altså, hvis folk legger ut info som ikke kan finnes generelt andre

steder, så har dem jo seg selv å takke. Er null problem å ha

en FB konto uten at folk kan snoke i ditt "privatliv".

Dessuten, i det øyeblikket man legget privatlivet ut på nett,

så er det ikke lenger privatliv.

En god etterforsker ville funnet ut mer om meg ved å kontakte

familie eller venner en de noensinne kan finne på FB.

[efikkan]

Jeg fikk høre fra en ekspert at kriminelle kan finne 90% av informasjonen de trenger gjennom internett, f.eks. gjennom Facebook.

 

Facebook har noen sperrer som kan begrense hvem som ser personlig innhold. Men noe av sperrene kan lett omgås uten et eneste script.

 

Alle bør tenke seg om før de legger ut noe som helst på en nettside. Tenk at dette kan i teorien alle få tak i.

[ventle]

Er ikke overskriften misvisende (les: bevisst feilinformasjon for å fange lesernes interresse, "tabloid")? Med mindre jeg har misforstått helt er ikke dette ett sikkerhetshull i Facebook-systemet, men heller ett resultat av at folk ukritisk trykker på linker i e-poster og villig fyller inn brukernavn/passord på en falsk innloggingsside uten å kontrollere adressefeltet for å se om dette faktisk er rett side...

 

Hvor sikkerhetshullet egentlig ligger kan sikkert diskuteres, men det tekniske hullet befinner seg ikke hos Facebook, ettersom hackerne ikke benytter svakheter i den tekniske løsningen for å få tilgang (fortsatt, med mindre jeg har misforstått hva dette dreier seg om).

[Vindstille]

Ventle: Nei. Denne sikkerhetsfeilen dreier seg om at man kan legge til javascriptkode på Facebook sine sider. Noe som man kan utnytte til litt av hvert.

[onkelRoar]

Er det noe problem når jeg aldri legger ut noe personlig på Facebook å lignende sider?

 

Eller brukes det til å hakke seg innpå PC-en min?

 

[hernil]

NoScript er flotte saker.

Er du dum nok til å legge ting som du ikke vil at alle skal ha tilgang til på internett så er det ditt problem.

[DarkSlayer]

noscript ... right.

 

Om det er slik jeg tror det er, så utnytter man at facebook kan redirecte deg til en annen side ved hjelp av get/post variabler - ergo du dumper rett til en annen server som leser session cookien, og så benytter den til å gå inn på facebook, for den session er jo validert....

 

Men jeg så bare fort over det så mulig jeg tar feil...

[Vindstille]

Er det noe problem når jeg aldri legger ut noe personlig på Facebook å lignende sider?

 

Eller brukes det til å hakke seg innpå PC-en min?

 

Nei. Da har du ingenting å frykte.

 

Det skumle er hvis slike angrep skjer mot webbaserte e-postklienter. Da kan man f.eks. sette opp filtere for å videresende e-post, og siden mange innloggingstjenester oppererer med at man kan få laget nytt/tilsendt passord over e-post vil crackere få full kontroll over alle tjenester du har registrert deg på med den e-postadressen. Det var et tilfellet under Gmail-sårbarheten for et halvt år siden hvor noen greide å kapre domenet til noen andre. Resultatet var flere tusen i tapte inntekter.

[ventle]

Ventle: Nei. Denne sikkerhetsfeilen dreier seg om at man kan legge til javascriptkode på Facebook sine sider. Noe som man kan utnytte til litt av hvert.

 

Ok, det er forsåvidt verre.

 

Jeg har søkt litt nå og jeg antar det er denne saken det dreier seg om. Såvidt jeg kan forstå må brukere selv trykke på en link de har mottatt utenfor facebook (i verste fall gjennom en facebook-applikasjon laget av tredjepart), slik at det fortsatt må en aktiv handling til fra brukerens side for å bli rammet - eller sagt på en annen måte: det er fortsatt hos brukeren selve hullet til syvende og sist sitter...

[Vindstille]

ventle: Det er selvfølgelig korrekt. Men hvor mange linker trykker du på i løpet av en dag, og hvor mange av dem sjekker du om inneholder noe mistenkelig.

 

Selv om det er en ting som ikke når så mange og sprer seg seint, kan hvem som helst bli rammet.

[hernil]

noscript ... right.

Vet ikke om det var ironi, men her er det jeg mente. NoScript kan selvfølgelig ikke beskytte en mot seg selv.

[ventle]

ventle: Det er selvfølgelig korrekt. Men hvor mange linker trykker du på i løpet av en dag, og hvor mange av dem sjekker du om inneholder noe mistenkelig.

 

Selv kontrollerer jeg alle linker som ikke kommer fra kjente avsendere. Dette prinsippet regner jeg egentlig med at de fleste følger, problemet er vel at alt for mange ikke er klar over hva som egentlig er en kjent avsender og hva som ikke er det.

 

Eksempelvis ble det sendt en e-post inneholdende en exe-fil med ett virus (så klart) til mine foreldres hjemme-epost for ett par år siden. På den tiden hadde de internett gjennom Telenor, og som mange sikkert vet følger det da med en e-post adresse med etternavnet @online.no. Virus-e-posten hadde avsender "[email protected]", og dette var nok til at min mor godtok dette som en kjent avsender, åpnet exe-filen som gikk rett gjennom viruskontrollen (Norman) og vips var format C: eneste løsning.

 

Med andre ord, dette sikkerhetshullet er nok en ting som bare rammer dumme uinformerte brukere, og ikke noe som kan brukes for å få tilgang til kanskje verdens største database over sensitive personopplysninger... rart, eller kanskje mest imponerende at sistnevnte enda ikke har skjedd. Men mangel på validering av input er likevel nybegynnerfeil som i beste fall er flaut for ett slikt nettsted.

Endret 26. mai 2008 av ventle