Microsoft устранила уязвимость в системе аутентификации

Microsoft устранила уязвимость в системе аутентификации

Microsoft устранила уязвимость в системе аутентификации. Ранее эксперты в сфере кибербезопасности утверждали, что данную брешь злоумышленники могут использовать для получения полного контроля над аккаунтом жертвы.

Как только исследователи изучили проблему безопасности, стало ясно: благодаря багу атакующие могут незаметно похитить токены учётных записей. Такие токены позволяют пользователям входить в свои аккаунты без необходимости каждый раз вводить пароль.

На уязвимость системы аутентификации Microsoft обратили внимание специалисты израильской компании CyberArk. Задействовав случайно возникшую лазейку, злоумышленники могли завладеть не только учётными записями на сайтах техногиганта, но и в приложениях, тоже использующих токены для аутентификации пользователей.

Вся проблема крылась в наличии незарегистрированных поддоменов, подключённых ко многим приложениям от Microsoft. Поскольку к последним есть определённая степень доверия, связанные с ними поддомены можно использовать для создания токенов.

Располагая вышеозначенными поддоменами, атакующему понадобится всего лишь заставить жертву перейти по специально созданной ссылке, после чего её токены перетекут в руки злоумышленника.

В некоторых случаях всё может быть ещё проще: без какого-либо взаимодействия с пользователем вредоносный сайт может использовать встроенную веб-страницу, визуально скрытую от посетителя. Эта страница может незаметно выполнить тот же запрос, который передаст токены пользователя преступникам.

К счастью, исследователи в области кибербезопасности заранее заняли максимально возможное число поддоменов, чтобы предотвратить возможные кибератаки. Сама Microsoft сообщила, что устранила уязвимость.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

WhatsApp опять сдал назад: удаление аккаунтов после 15 мая откладывается

Facebook в очередной раз отступил от своих планов в отношении навязывания политики WhatsApp. Напомним, что пользователей мессенджера пытаются заставить принять новую политику, которая, по словам отдельных экспертов, увеличит количество собираемых пользовательских данных.

Ещё в январе руководство WhatsApp спасовало перед возмущением людей и отложило вступление в силу новых правил до 15 мая. Разработчики даже попытались реабилитироваться с помощью баннера, объясняющего новую политику.

И вот теперь, когда 15 мая всё ближе, WhatsApp до сих пор не решается принять радикальные меры. Как известно, изначально представители мессенджера обещали удалить аккаунты пользователей, не принявших новые правила, но теперь эти меры решили заменить простым напоминанием.

Стоит отметить, что после вступления в силу обновлённой политики WhatsApp сможет делиться большим количеством данных с Instagram, Messenger и т. п. В результате «циркулировать» между этими смежными сервисами Facebook будут контакты пользователей, информация о профиле и похожие сведения. При этом подчёркивается, что содержимое сообщений останется нетронутым, поскольку оно зашифровано.

«Ни один из пользователей не лишится своего аккаунта 15 мая. Также сохранится вся функциональность мессенджера. Мы продолжим напоминать людям о новых правилах, чтобы они ознакомились с изменениями и приняли их», — говорится на официальном сайте.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru