Facebook исправил крупный изъян в системе безопасности

Facebook исправил крупный изъян в системе безопасности

Исследователи из университета Индианы обнаружили уязвимость в Facebook, которая позволяла неавторизованным лицам получать доступ к данным пользователей. Сотрудники социальной сети довольно оперативно внесли требуемые модификации, так что на данный момент конфиденциальности личных сведений ничто не угрожает.



В письме редакции Интернет-издания eWeek выявившие изъян студенты Жуй Ван и Чжоу Ли пояснили, что ошибка была найдена в механизме аутентификации Интернет-ресурсов; посторонний сайт можно было выдать за доверенный и получить все его привилегии.


Например, поисковая машина Microsoft - Bing.com - по умолчанию обладает правами на доступ к основным сведениям о пользователях Facebook; эксплуатируя уязвимость, вредоносный сайт мог выдать себя за Bing и извлечь информацию, которая в обычных условиях была бы для него недоступна. Есть и другие ресурсы, которые располагают еще большими привилегиями - например, на доступ к персональным данным участников социальной сети и на републикацию того или иного содержимого на Facebook от их имени; соответственно, притворившись одним из таких узлов (например, NYTimes, ESPN, YouTube, FarmVille и т.д.), сайт злоумышленников мог бы похитить личные сведения или автоматически разместить в социальной сети сообщение любого рода.


Как отмечалось выше, Facebook быстро закрыл уязвимость и поспешил заверить участников, что признаков эксплуатации изъяна отмечено не было. "Обеспечение безопасности для нас является задачей наивысшего приоритета, и мы выделяем значительные ресурсы на защиту учетных записей пользователей и их персональных данных", - заявил, в частности, представитель социальной сети. - "Мы постоянно находимся в контакте с экспертами в области безопасности по всему миру и активно сотрудничаем с ними в тех редких случаях, когда им все же удается обнаружить уязвимость в Facebook".


Ведущий технический консультант Sophos Грэм Клалей в своем блоге заметил, что ему не сразу удалось воспроизвести атаку при помощи созданного студентами тестового сайта. Специалист связал это с жесткими настройками конфиденциальности, которые он установил в своем профиле. Однако после установки фирменного приложения от ESPN эксплойт отработал вполне успешно, сумев извлечь личные данные эксперта и разместить от его имени "вредоносную" ссылку.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Минцифры: Вся инфраструктура цифровой платформы МАХ размещена в России

Цифровая платформа МАХ, которую разрабатывает VK, по информации Минцифры РФ, работает полностью на российской инфраструктуре. Это, как утверждают в ведомстве, должно гарантировать надёжное хранение данных и защиту пользователей. Сама платформа объединяет мессенджер, мини-приложения, конструктор чат-ботов и встроенную платёжную систему.

В будущем обещают добавить интеграцию с «Госуслугами», цифровой идентификатор для подтверждения личности без бумажных документов, электронную подпись и образовательные сервисы.

Разработчики активно продвигают МАХ как безопасное и удобное решение для общения и доступа к цифровым гос- и бизнес-сервисам. При этом мессенджер уже успел оказаться в центре скандалов: его обвиняли в слежке за пользователями, передаче данных за рубеж и использовании компонентов из недружественных стран. Также у VK, по состоянию на сегодня, нет лицензий ФСТЭК и ФСБ России, которые необходимы для работы с информацией ограниченного доступа.

Чтобы повысить доверие, команда МАХ запустила сразу несколько инициатив по безопасности. Например, в платформу встроили систему автоматического анализа кода VK Security Gate. Она использует ИИ, чтобы отслеживать изменения в коде и подсказывать, где его можно усилить или исправить.

Кроме того, запущена программа по поиску уязвимостей — исследователей по информационной безопасности пригласили искать уязвимости в МАХ. Вознаграждение за найденные баги может доходить до 5 миллионов рублей. Программа стала частью общей инициативы VK по привлечению внешних экспертов к тестированию своих сервисов.

Пока МАХ остаётся одним из главных претендентов на звание «национального мессенджера», но судьба проекта во многом будет зависеть от доверия пользователей и готовности разработчиков решать не только технические, но и регуляторные вопросы.

Сегодня также стало известно, что отвечать за работу и развитие национального сервиса обмена информацией будет дочерняя структура VK, компания «Коммуникационная платформа». Уже подписано соответствующее распоряжение.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru