Đăng nhập bằng Facebook. Đăng nhập bằng Google. Trang web thường tận dụng mong muốn đăng nhập dễ dàng của chúng ta để đảm bảo chúng ta truy cập, và để đảm bảo họ lấy một miếng bánh dữ liệu cá nhân. Nhưng với giá nào? Một nhà nghiên cứu bảo mật gần đây phát hiện lỗ hổng trong tính năng Đăng nhập bằng Facebook tìm thấy trên hàng nghìn trang. Tương tự, một lỗi trong giao diện tên miền Google App đã lộ dữ liệu riêng tư của hàng trăm nghìn cá nhân ra công khai.
Đây là vấn đề nghiêm trọng đối với hai cái tên lớn nhất công nghệ gia đình. Dù các vấn đề này sẽ được xử lý với sự bất an thích hợp và lỗ hổng được vá, nhận thức đủ có được đưa đến công chúng? Hãy nhìn vào từng trường hợp, và ý nghĩa của nó đối với an ninh web của bạn.
Trường hợp 1: Đăng nhập bằng Facebook
Lỗ hổng Đăng nhập bằng Facebook làm lộ tài khoản của bạn - nhưng không phải mật khẩu Facebook thực tế - và các ứng dụng bên thứ ba bạn đã cài đặt, như Bit.ly, Mashable, Vimeo, About.me, và hàng loạt khác.
Lỗi nghiêm trọng, được phát hiện bởi Egor Homakov, nhà nghiên cứu bảo mật cho Sakurity, cho phép hacker lạm dụng một sự疏忽 trong mã Facebook. Lỗi xuất phát từ thiếu bảo vệ Cross-Site Request Forgery (CSRF - Giả mạo yêu cầu liên trang) thích hợp cho ba quy trình khác nhau: Đăng nhập Facebook, Đăng xuất Facebook, và Kết nối Tài khoản Bên Thứ Ba. Lỗ hổng về cơ bản cho phép bên không mong muốn thực hiện hành động trong tài khoản đã xác thực. Bạn có thể thấy tại sao đây là vấn đề đáng kể.
Tuy nhiên, Facebook, cho đến nay, đã chọn làm rất ít để giải quyết vấn đề vì nó sẽ làm hỏng sự tương thích của họ với một số lượng lớn trang web. Vấn đề thứ ba có thể được sửa bởi bất kỳ chủ trang web quan tâm nào, nhưng hai vấn đề đầu nằm hoàn toàn ở cửa Facebook.
Để minh họa thêm cho sự thiếu hành động của Facebook, Homakov đã đẩy vấn đề xa hơn bằng cách phát hành công cụ hacker tên RECONNECT. Điều này khai thác lỗi, cho phép hacker tạo và chèn URL tùy chỉnh dùng để chiếm đoạt tài khoản trên trang web bên thứ ba. Homakov có thể bị gọi là thiếu trách nhiệm vì phát hành công cụ, nhưng lỗi nằm hoàn toàn ở việc Facebook từ chối vá lỗ hổng được đưa ra ánh sáng hơn một năm trước.
Trong lúc chờ đợi, hãy cảnh giác. Đừng nhấp vào liên kết không tin cậy từ trang web rác, hoặc chấp nhận lời mời kết bạn từ người bạn không biết. Facebook cũng đã phát hành tuyên bố:
"Đây là hành vi được hiểu rõ. Nhà phát triển trang web dùng Đăng nhập có thể ngăn chặn vấn đề này bằng cách tuân thủ thực hành tốt nhất của chúng tôi và dùng tham số 'state' chúng tôi cung cấp cho Đăng nhập OAuth."
Khuyến khích.
Trường hợp 1a: Ai đã bỏ kết bạn tôi?
Người dùng Facebook khác bị mồi cho một "dịch vụ" khác săn lùng đánh cắp thông tin đăng nhập OAuth của bên thứ ba. Đăng nhập OAuth được thiết kế để ngăn người dùng nhập mật khẩu vào bất kỳ ứng dụng hoặc dịch vụ bên thứ ba nào, duy trì tường bảo mật.
Dịch vụ như UnfriendAlert săn lùng cá nhân cố gắng khám phá ai đã từ chối tình bạn trực tuyến, yêu cầu người dùng nhập thông tin đăng nhập - sau đó gửi thẳng đến trang web độc hại yougotunfriended.com. UnfriendAlert được phân loại là Chương trình Có Khả Năng Không Mong Muốn (PUP), cài đặt cố ý adware và malware.
Thật không may, Facebook không thể hoàn toàn ngăn chặn dịch vụ như vậy, nên trách nhiệm nằm trên người dùng dịch vụ để cảnh giác và không bị lừa bởi những thứ dường như quá tốt để là thật.
Trường hợp 2: Lỗi Google Apps
Lỗ hổng thứ hai xuất phát từ khiếm khuyết trong việc Google Apps xử lý đăng ký tên miền. Nếu bạn từng đăng ký trang web, bạn sẽ biết cung cấp tên, địa chỉ, email, và thông tin cá nhân quan trọng khác là thiết yếu cho quy trình. Sau đăng ký, bất kỳ ai với đủ thời gian có thể chạy Whois để tìm thông tin công khai này, trừ khi bạn đặt yêu cầu trong đăng ký để giữ dữ liệu cá nhân riêng tư. Tính năng này thường tốn tiền, và hoàn toàn tùy chọn.
Những cá nhân đăng ký trang web qua eNom và yêu cầu Whois riêng tư thấy dữ liệu của họ đã rò rỉ chậm rãi trong khoảng 18 tháng. Lỗi phần mềm, được phát hiện ngày 19/2 và vá 5 ngày sau, rò rỉ dữ liệu riêng tư mỗi lần đăng ký được gia hạn, có thể làm lộ cá nhân riêng tư trước bất kỳ số lượng vấn đề bảo vệ dữ liệu nào.
Truy cập bản phát hành hàng loạt 282.000 bản ghi không dễ dàng. Bạn không sẽ lôi kéo nó trên web. Nhưng nó hiện là một vết nhơ vĩnh viễn trên hồ sơ của Google, và cũng vĩnh viễn từ những khu vực rộng lớn của Internet. Và nếu ngay cả 5%, 10%, hoặc 15% cá nhân bắt đầu nhận email spear phishing (nhắm mục tiêu) độc hại, cao độ tập trung, vấn đề này phồng thành đau đầu dữ liệu lớn cho cả Google và eNom.
Trường hợp 3: Giả mạo tôi
Đây là lỗ hổng đa mạng cho phép hacker lại khai thác hệ thống đăng nhập bên thứ ba được tận dụng bởi nhiều trang web phổ biến. Hacker đặt yêu cầu với dịch vụ dễ bị tổn thương đã xác định dùng địa chỉ email của nạn nhân, một cái đã được biết đến bởi dịch vụ dễ bị tổn thương. Hacker sau đó có thể giả mạo chi tiết người dùng với tài khoản giả, truy cập tài khoản xã hội hoàn chỉnh với xác minh email đã xác nhận.
Để hack này hoạt động, trang web bên thứ ba phải hỗ trợ ít nhất một mạng xã hội khác dùng nhà cung cấp danh tính khác, hoặc khả năng dùng thông tin cá nhân trang web cục bộ. Nó tương tự hack Facebook, nhưng đã được thấy trên nhiều trang web hơn, bao gồm Amazon, LinkedIn, và MYDIGIPASS trong số khác, và có thể tiềm ẩn dùng để đăng nhập vào dịch vụ nhạy cảm với ý định độc hại.
Đó không phải lỗi, đó là tính năng
Một số trang web bị牵连 trong chế độ tấn công này không thực sự để một lỗ hổng nghiêm trọng lọt qua radar: chúng được xây dựng trực tiếp vào hệ thống. Ví dụ là Twitter. Twitter gốc là tốt, nếu bạn có một tài khoản. Khi bạn quản lý nhiều tài khoản, cho các ngành khác nhau, tiếp cận nhiều đối tượng, bạn cần ứng dụng như Hootsuite, hoặc TweetDeck.
Các ứng dụng này giao tiếp với Twitter dùng thủ tục đăng nhập rất tương tự vì chúng cũng cần truy cập trực tiếp vào mạng xã hội của bạn, và người dùng được yêu cầu cung cấp cùng quyền hạn. Nó tạo ra kịch bản khó khăn cho nhiều nhà cung cấp mạng xã hội vì ứng dụng bên thứ ba mang lại rất nhiều cho lĩnh vực xã hội, nhưng rõ ràng tạo ra bất tiện bảo mật cho cả người dùng và nhà cung cấp.
Tóm tắt
Chúng tôi đã xác định ba-một chút lỗ hổng đăng nhập xã hội bạn giờ nên có thể nhận diện và hy vọng tránh. Hack đăng nhập xã hội không sẽ khô ráo qua đêm. Lợi ích tiềm năng cho hacker quá lớn, và khi công ty công nghệ khổng lồ như Facebook từ chối hành động theo lợi ích tốt nhất của người dùng, về cơ bản là mở cửa và để họ lau chân trên thảm chào dữ liệu riêng tư.
Tài khoản xã hội của bạn có bị xâm phạm bởi bên thứ ba? Điều gì xảy ra? Bạn đã khôi phục như thế nào?