Уязвимость в системе аутентификации Amazon

Уязвимость в системе аутентификации Amazon

Странная ошибка была обнаружена одним из посетителей Amazon. При попытке авторизации система не воспринимала ошибок, допущенных при введении пароля и пропускала его в личный кабинет.

По словам пользователя, обнаружившего ошибку, он мог авторизоваться, даже если пароль был введен неверно. Причем система «не видела» изменений именно в последних вводимых символах, в случае если в пароле было больше восьми знаков. Иными словами, пользователь, у которого был пароль "iloveyouamazon", он с таким же успехом мог зайти в систему, набрав "iloveyoufacebook" или просто "iloveyou".

Конечно, на первый взгляд это выглядит как уязвимость системы безопасности ресурса. Однако, скорей всего это не совсем так и возможностей у хакеров гораздо меньше, чем можно представить.

Во-первых, даже если особенно усердный хакер решит взломать все учетные записи пользователей с паролем "iloveyou", ему сначала потребуется найти адреса электронной почты, которые используются в качестве логинов. Допустим, что он имеет такую информацию, но вероятность того, что удастся подобрать хотя бы одно соответствие путем перебора, даже при условии отсутствия защиты против таких атак, сводится к нулю. Это связано с огромнейшим количеством комбинаций, которые необходимо будет перебрать.

Ведь всем известно, что основной причиной взлома аккаунтов является доступность базы данных, где указаны все необходимые для доступа данные.

Скорей всего, причина кроется в том, что пароль не изменялся с момента регистрации, которая была очень давно, и, как следствие, вполне возможно, что алгоритм шифрования устаревших паролей отличается от новых. Данную проблему можно решить изменив пароль.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Google напомнила, как Play Store защищает владельцев Android-смартфонов

Google решила напомнить всем, как она следит за безопасностью в своём магазине приложений Play Store. Корпорация запустила новую рекламную кампанию с говорящим слоганом: «Download apps, not traps» — то есть «Скачивай приложения, а не ловушки».

В центре внимания — меры, которые помогают не наткнуться на вредоносные или мошеннические программы.

Вот что делает Google, чтобы пользователям не пришлось переживать за безопасность:

Многоступенчатые проверки

Каждое приложение, прежде чем появиться в Play Store (и даже перед обновлениями!), проходит больше 10 000 проверок. Это помогает отсеивать подозрительный софт ещё до того, как он попадёт на смартфон.

Play Protect — твой цифровой телохранитель

Этот инструмент по умолчанию включён на всех устройствах с Android. Он проверяет приложения до установки и продолжает следить за уже установленными программами, чтобы вовремя поймать что-то подозрительное.

Прозрачность по части данных

У каждого приложения теперь есть отдельный раздел, где расписано, какие данные оно собирает, с кем делится и как их защищает. Видно, использует ли геолокацию, сообщения, финансы, активность и т. п. Удобно, чтобы понимать, кому ты даёшь доступ к данным.

 

Безопасные покупки

Перед покупкой Google просит подтвердить её паролем, отпечатком пальца или другим способом. Это защищает от случайных трат — особенно если телефон в руках ребёнка.

Родительский контроль

Для детей Google предусмотрела строгие фильтры. Приложения, ориентированные на младшую аудиторию, обязаны соответствовать особым требованиям: по содержанию и по тому, как они работают с персональной информацией.

Значки доверия и управление рекомендациями

В магазине теперь есть специальные значки, например, «Government» — для официальных госприложений, или «Verified» — для VPN, которые действительно заботятся о безопасности. Кроме того, можно настраивать, какие данные используются для персональных рекомендаций, а можно и вовсе их отключить.

И, конечно, компания продолжает бороться с нарушителями. За прошлый год Google заблокировала более 2,36 млн приложений и 158 000 аккаунтов разработчиков, нарушавших правила.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru