Acest articol a fost scris in luna Iunie a acestui an dar din anumite motive am amanat publicarea lui pana astazi.

Se pare ca web 2.0 incepe sa ridice probleme majore datorita numarului din ce in ce mai mare de utilizatori ai serviciilor de tip social networks.

Twitter a cunoscut o uriasa crestere de utilizatori in ultima perioada, devenind o moda sa iti tii la curent cunostintele prin scurtele mesaje postate prin acest sistem. Este un serviciu util, amuzant, informativ, ce ajuta foarte mult la interactiunea oamenilor din online. Dar exista o mare problema. Datele membrilor nu sunt in siguranta.

Recentele probleme de securitate ma fac sa ma intreb cat mai dureaza pana cand personalitatile publice vor simti pe pielea lor ce inseamna sa folosesti un serviciu care permite (din cauza erorilor umane), accesul la datele lor confidentiale. Stiu, nu se gasesc datele bancare ale membrilor, nu exista in baza de date niciun SSN sau CNP, in schimb daca cineva obtine acces neautorizat in panoul de administrare poate gasi extrem de usor cea mai utila informatie ce-l poate ajuta la pornirea unui atac targetat si anume adresa de mail.

Citeam acum cateva sapamani articole despre pozele furate din pc-urile unor vedete internationale si singurul lucru la care am putut sa ma gandesc a fost “oare de unde au pornit atacurile?”. Un atacator nu are cum sa acceseze un mail sau un pc fara a avea un punct de pornire. Nimeni nu ar incerca sa infecteze milioane de pc-uri sau sa sparga milioane de mailuri doar pentru a  gasi poze cu o singura persoana, deci un punct de pornire a fost necesar. Si mi-a venit in minte ceea ce s-a intamplat cu twitter de curand si la cat au fost de expuse informatiile utilizatorilor acestui serviciu.

Acum sa analizam putin o posibilitate de atac, asa cum as proceda eu.

Din moment ce pot vedea adresele de mail ale fiecarui user in parte si este (probabil) o chestiune de timp pana cineva isi da seama ca mi-am bagat degetele in sistemul de administrare, ce optiuni am? Sa ma chinui sa salvez cateva milioane de adrese mail total neinteresante daca nu sunt spammer sau sa caut adresele celebritatilor care prin intermediul twitter tin legatura cu fanii? Eu as merge pe ideea de a salva adresele celebritatilor.

Pasul urmator este de a afla cat mai multe despre sistemul de operare si browserele folosite de persoanele vizate. Se rezolva foarte usor chiar si cu ajutorul unor servicii publice si gratuite de tipul “readnotify.com”.

Pasul final este extrem de simplu. Se incepe bombardarea respectivilor cu diferite mailuri ce pot contine exploituri xss, exploituri de browser, troieni, scam-uri.

Din experienta pot spune ca in cazul unui xss minim 3 din 10 oameni atacati vor fi afectati. In cazul exploiturilor de browser sansele de reusita sunt mult mai mici dar totusi exista. In privinta mesajelor ce contin troieni nu stiu rata de conversie dar banuiesc ca macar 1 din 10 persoane downloadeaza respectiva aplicatie atata timp cat mesajul este credibil si cu siguranta atata timp cat insisti in a capata acces asupra contului sau a calculatorului unui individ, sansele tale cresc in functie de tacticile pe care le pui in aplicare. Scam-urile au avut si vor avea intotdeauna efectul scontat asupra utilizatorului incepator.

Nu vreau sa se inteleaga gresit, nu spun ca cele doua celebritati au fost victime colaterale ale celor care au “spart” twitter, dar este o posibilitate ca acest lucru sa se intample in viitor altor persoane. Informatiile sunt acolo si asteapta sa fie extrase de cineva care stie cum sa profite de greselile umane si din cate se vede intotdeauna exista un binevoitor care reuseste sa greseasca.

P.S. –  ”unu” lucreaza de ceva timp pe cont propriu si s-a mutat aici.

Random Posts

• October 23, 2009 -- Another Sql Injection vulnerability in Yahoo! domains
• May 8, 2009 -- Owasp5005 Part2 – New zero-day browser exploits – ClickJacking
• November 11, 2008 -- …
• January 25, 2009 -- Ce servicii de mail folositi?
• November 5, 2008 -- Agentia de recrutare APT tine publice datele pe o baza nesecurizata corect