Windows

Το χαρακτηριστικό του Twitter OAuth μπορεί να καταστρατηγηθεί για την κατάχρηση λογαριασμών, λέει ο ερευνητής

Breaking Through The (Google) Glass Ceiling by Christopher Bartholomew

Breaking Through The (Google) Glass Ceiling by Christopher Bartholomew
Anonim

Ένα χαρακτηριστικό στο Twitter API μπορεί να καταστρατηγηθεί από τους επιτιθέμενους για να ξεκινήσουν αξιόπιστες επιθέσεις κοινωνικής μηχανικής που θα τους έδιναν πολλές πιθανότητες να καταλάβουν τους λογαριασμούς χρηστών, αποκάλυψε ένας κινητός προγραμματιστής εφαρμογών την Τετάρτη στο συνέδριο ασφάλειας του Hack in the Box στο Άμστερνταμ. με τον τρόπο με τον οποίο το Twitter χρησιμοποιεί το πρότυπο OAuth για να εξουσιοδοτήσει τις εφαρμογές τρίτων, συμπεριλαμβανομένων των υπολογιστών-πελατών και των επιτραπέζιων υπολογιστών Twitter, να αλληλεπιδρούν με τους λογαριασμούς χρηστών μέσω του API, του Nicolas Seriot, Το Twitter επιτρέπει στις εφαρμογές να καθορίζουν μια προσαρμοσμένη διεύθυνση URL επιστροφής χρηστών, στην οποία οι χρήστες θα ανακατευθύνονται, αφού παραχωρήσουν πρόσβαση σε αυτές τις εφαρμογές στους λογαριασμούς τους μέσω μιας σελίδας εξουσιοδότησης στον ιστότοπο του Twitter

[Περαιτέρω ανάγνωση: Πώς να αφαιρέσετε το κακόβουλο λογισμικό από τον υπολογιστή σας Windows]

Το Seriot βρήκε έναν τρόπο δημιουργίας ειδικών συνδέσμων που, όταν κάνουν κλικ από χρήστες, θα ανοίξουν σελίδες εξουσιοδότησης εφαρμογής Twitter για δημοφιλείς πελάτες όπως το TweetDeck. Ωστόσο, τα αιτήματα αυτά θα διευκρινίζουν το διακομιστή του εισβολέα ως διευθύνσεις callback, αναγκάζοντας τους browsers των χρηστών να στέλνουν τα εισερχόμενα αναγνωριστικά του Twitter στον εισβολέα.

Το διακριτικό πρόσβασης επιτρέπει την πραγματοποίηση ενεργειών με το σχετικό λογαριασμό μέσω του API Twitter χωρίς την ανάγκη έναν κωδικό πρόσβασης. Ένας εισβολέας θα μπορούσε να χρησιμοποιήσει τέτοια μάρκες για να δημοσιεύσει νέα μηνύματα για λογαριασμό των συμβιβασθέντων χρηστών, να διαβάσει τα προσωπικά μηνύματά τους, να τροποποιήσει την τοποθεσία που εμφανίζεται στα tweets τους και πολλά άλλα.

Η παρουσίαση κάλυψε ουσιαστικά τις συνέπειες της ασφάλειας από την αποδοχή προσαρμοσμένων επιστροφών τη χρήση αυτής της δυνατότητας για να μετατραπεί σε νόμιμους και αξιόπιστους πελάτες του Twitter, προκειμένου να κλέψουν τις μάρκες πρόσβασης χρήστη και να καταλάβουν τους λογαριασμούς, δήλωσε ο Seriot.

Ένας εισβολέας θα μπορούσε να στείλει ένα email με έναν τόσο δημιουργημένο σύνδεσμο στον διαχειριστή κοινωνικών μέσων μιας σημαντικής εταιρείας ή ο οργανισμός ειδήσεων που προτείνει, για παράδειγμα, ότι είναι ένας σύνδεσμος για να ακολουθήσετε κάποιον στο Twitter.

Όταν κάνετε κλικ στον σύνδεσμο, ο στόχος θα βλέπει μια σελίδα Twitter προστατευμένη από SSL που θα του ζητά να εξουσιοδοτήσει το TweetDeck, το Twitter για iOS ή κάποια άλλα δημοφιλή πελάτη Twitter, για να αποκτήσετε πρόσβαση στο λογαριασμό του. Εάν ο στόχος χρησιμοποιεί ήδη τον κωδικοποιημένο πελάτη, ενδέχεται να πιστεύει ότι η εξουσιοδότηση που έχει χορηγηθεί προηγουμένως έχει λήξει και πρέπει να γίνει εκ νέου έγκριση της εφαρμογής.

Κάνοντας κλικ στο κουμπί "Εξουσιοδότηση" θα εξαναγκαστεί ο περιηγητής του χρήστη να στείλει το διακριτικό πρόσβασης ο διακομιστής του εισβολέα, ο οποίος θα ανακατευθύνει τον χρήστη πίσω στην ιστοσελίδα του Twitter. Ο χρήστης δεν θα δει κανένα σημάδι για κάτι κακό, δήλωσε ο Seriot

Για να επιτελέσει μια τέτοια επίθεση και να σχεδιάσει τους ειδικούς συνδέσμους, ο επιτιθέμενος θα πρέπει να γνωρίζει τα Twitter API tokens για τις εφαρμογές που επιθυμεί να μιμηθεί. Οι προγραμματιστές έχουν δημιουργήσει μια βιβλιοθήκη OAuth ανοικτού κώδικα για Mac OS X που μπορεί να χρησιμοποιηθεί για να αλληλεπιδράσει με το API Twitter και να δημιουργήσει συνδέσεις εξουσιοδότησης απατεώνων URL επαναφοράς. Ωστόσο, η βιβλιοθήκη, η οποία ονομάζεται STTwitter, κατασκευάστηκε για νόμιμους σκοπούς και αποσκοπεί στην προσθήκη υποστήριξης Twitter στο Adium, ένα δημοφιλές πελάτη πολλαπλών πρωτοκόλλων για Mac OS X.

Σύμφωνα με το Seriot, το Twitter θα μπορούσε να αποτρέψει τέτοιες επιθέσεις από απενεργοποιώντας τη λειτουργία επανάκλησης από την εφαρμογή OAuth. Ωστόσο, δεν πιστεύει ότι η εταιρεία θα το κάνει αυτό, γιατί είναι τεχνικά ένα νόμιμο χαρακτηριστικό που χρησιμοποιείται από ορισμένους πελάτες.

Το Twitter δεν απάντησε αμέσως σε ένα αίτημα για σχολιασμό που στάλθηκε την Πέμπτη