211service.com
Facebook vuole fornire la patente di guida per Internet
Sebbene non sia evidente a molti, Facebook è in procinto di trasformarsi dal sito Web di social media più popolare al mondo in una parte fondamentale dell'infrastruttura di identità di Internet. Se avrà successo, Facebook e gli account Facebook diventeranno un obiettivo ancora più grande per gli hacker.
Mentre i professionisti della sicurezza discutono se Internet abbia bisogno di un livello di identità, un protocollo uniforme per l'autenticazione delle identità degli utenti, un numero crescente di siti Web vota con il proprio codice, adottando Facebook Connect come un modo per chiunque disponga di un account Facebook di accedere al sito all'indirizzo il clic di un pulsante.
Facebook ha introdotto Connect nel luglio 2008, offrendo strumenti di siti Web di terze parti per coordinarsi con le informazioni dell'utente che Facebook detiene, inclusi gli accessi. Pertanto, i siti Web avevano la possibilità di consentire agli utenti di Facebook di identificarsi con la propria identità di Facebook.
Quindi, ad esempio, il fornitore di statistiche Web Alexa offre ai nuovi utenti la possibilità di creare un account inserendo un nome utente e una password o semplicemente facendo clic sul pulsante Connetti con Facebook. I siti Web noti che utilizzano anche Connect includono Internet Movie Database, Ask.com ed ESPN. Altri quasi sicuramente salteranno sul carro nel 2011.
Il sistema di identità di Facebook potrebbe benissimo fornire qualcosa che VeriSign, Microsoft, Yahoo e Google hanno tutti faticato a offrire: una singola patente di guida per Internet. (Questo lascia da parte la questione se sia una buona cosa per una società mantenere una tale posizione di potere.)
Una combinazione unica di fattori rende Facebook adatto a fungere da repository per le identità delle persone su Internet. A differenza di molti siti Web popolari, richiede agli utenti di registrarsi e accedere. E di Facebook Termini di servizio richiedono che gli utenti forniscano i loro veri nomi e informazioni: infatti, Facebook ha chiuso gli account creati con nomi apparentemente falsi o per personaggi di fantasia. Poiché gli utenti di Facebook investono i loro account con un'enorme quantità di contenuti personali durevoli, tra cui fotografie, informazioni di contatto e connessioni ai loro social network, è probabile che mantengano una relazione a lungo termine con il sito.
Questa persistenza dell'identità reale mette Facebook in grado di risolvere uno dei problemi più urgenti su Internet oggi: la proliferazione di nomi utente e password.
Contrariamente alla pratica odierna, non c'è motivo per la maggior parte dei siti Web di costringere i propri utenti a creare nomi utente e password. La maggior parte dei siti web non ha bisogno o addirittura non vuole o non ha bisogno di gestire le identità dei propri utenti: vogliono semplicemente un modo per identificare in modo affidabile i propri utenti nel tempo. I siti web dei media, ad esempio, vogliono essere in grado di attribuire commenti e limitare lo spam. I siti web di finanza personale vogliono offrire agli utenti un modo per monitorare le informazioni altamente personali in modo sicuro, ad esempio un portafoglio di azioni che l'utente potrebbe inserire.
Inoltre, mantenere un'infrastruttura di identità utente ha i suoi rischi, come è stato dolorosamente chiarito il mese scorso quando gli hacker hanno fatto irruzione nei server gestiti da Gawker Media e hanno scaricato i nomi utente e le password per oltre un milione di account di Gawker. Anche se le password erano crittografate, molte erano facili da indovinare, quindi gli account potevano essere facilmente decifrati, secondo an analisi dell'attacco dai ricercatori di sicurezza dell'Università di Cambridge. A seguito dell'attacco, diversi siti Web non correlati, tra cui LinkedIn e Woot, hanno inviato e-mail ai propri utenti avvertendoli di modificare le password se erano le stesse utilizzate per Gawker.
Facebook Login consente a qualsiasi sito Web del pianeta di utilizzare la propria infrastruttura di identità e le misure di sicurezza sottostanti. È facile implementare Facebook Login, semplicemente aggiungendo poche righe di codice a un server web. Una volta apportata tale modifica, gli utenti del sito vedranno un pulsante Connetti con Facebook. Se hanno già effettuato l'accesso a Facebook (avendo visitato di recente il sito), possono semplicemente fare clic su di esso e sono entrati. Se non hanno effettuato l'accesso di recente, vengono richiesti il nome utente e la password di Facebook.
Un interessante vantaggio collaterale per gli operatori del sito Web è che Facebook Login fornisce al sito i nomi reali degli utenti (nella maggior parte dei casi) e, facoltativamente, una varietà di altre informazioni, come amici e Mi piace degli utenti. Attualmente, Facebook non addebita ai siti Web di utilizzare la sua infrastruttura di identità o accedere a queste informazioni aggiuntive, anche se Facebook potrebbe certamente farlo in futuro.
Facebook conosce già bene i problemi di sicurezza di Internet, semplicemente perché contiene i dati personali di oltre 500 milioni di persone. Il maggiore utilizzo della piattaforma Facebook per cose che vanno oltre i social media, ad esempio una banca in Nuova Zelanda, ha annunciato a novembre che avrebbe consentito ai clienti di accedere alle informazioni bancarie su Facebook, solleva ovviamente nuove preoccupazioni. E se l'azienda estende la sua portata per offrire un accesso universale sul Web, le sfide che probabilmente dovrà affrontare diventeranno ancora maggiori.
Infatti, negli ultimi anni Facebook ha adottato misure per migliorare la sicurezza della sua piattaforma in diversi modi.
Ad esempio, l'anno scorso Facebook ha introdotto un sistema che consente agli utenti di richiedere una password una tantum per accedere da un terminale pubblico su cui potrebbe essere installato un software spia per la registrazione dei tasti. Gli utenti inviano un messaggio di testo SMS contenente le lettere otp a 32665 (FBOOK) da un telefono cellulare registrato e i server di Facebook restituiscono una password che può essere utilizzata una sola volta per accedere all'account dell'utente. La teoria è che non importa se un hacker sta eseguendo uno sniffer di password, poiché la password non funzionerà una seconda volta.
Un'altra innovazione è il modo in cui Facebook consente agli utenti di monitorare i vari browser Web e dispositivi da cui accedono a Facebook. Cliccando su Impostazioni dell 'account menu a discesa e selezionando la sezione Sicurezza dell'account, gli utenti di Facebook sono in grado di vedere tutti i dispositivi attualmente autenticati, ognuno dei quali può essere disconnesso da remoto, utile se ti capita di rimanere connesso al computer dei tuoi genitori. Puoi anche fare in modo che Facebook invii una notifica SMS al tuo cellulare ogni volta che un nuovo dispositivo accede al tuo account Facebook. Ovviamente, se vedi una connessione da una macchina che non riconosci, è ora di cambiare la password.
Sfortunatamente, Facebook ha ancora due importanti vulnerabilità che rendono il suo sito web significativamente meno sicuro di quelli della maggior parte delle banche statunitensi: la sua dipendenza da un unico nome utente e password per accedere a un account e l'uso di un cookie non crittografato per tenere traccia di quali browser web sono registrati.
La combinazione di nome utente e password fornisce un punto di debolezza. Gli account Facebook possono essere compromessi da un utente malintenzionato che potrebbe rubare queste informazioni da un altro sito o indovinarlo provando molte combinazioni in successione (un cosiddetto attacco a forza bruta).
Abbiamo creato sistemi per proteggerci da questi tipi di attacchi di forza bruta, afferma Simon Axten, portavoce di Facebook. Ad esempio, se rileviamo una serie di tentativi di accesso sospetti per un determinato account, richiederemo un CAPTCHA e potremmo persino sospendere temporaneamente l'accesso all'account.
Facebook monitora una serie di segnali, tra cui posizione e dispositivo, afferma Axten, per determinare quando un account è soggetto a un attacco prolungato. Una volta segnalato un tentativo, anche se sono state immesse le credenziali di accesso corrette, richiederemo alla persona che effettua l'accesso di fornire un'ulteriore autenticazione, ad esempio rispondendo a una domanda di sicurezza, inserendo un codice inviato tramite SMS o identificando gli amici taggati nelle foto a cui ha accesso il proprietario dell'account.
Tuttavia, ci sono modi per accedere all'account Facebook di una persona anche senza conoscere la password. Questo perché Facebook utilizza qualcosa chiamato cookie di autenticazione per tenere traccia di un browser Web quando è connesso. A differenza delle password di Facebook, che sono crittografate quando vengono inviate su Internet, i cookie vengono inviati ogni volta ai server Web non crittografati di Facebook un computer comunica con il sito. Questo non è un grosso rischio se si utilizza una connessione Internet cablata o una connessione wireless crittografata al lavoro oa casa. Ma se stai usando Facebook su un punto di accesso wireless non crittografato in un bar o in un aeroporto, qualcuno che esegue uno sniffer di pacchetti su un laptop potrebbe rubare il tuo cookie di autenticazione dall'aria e quindi accedere a Facebook come te.
Tale sniffing è diventato più facile che mai da perpetrare lo scorso autunno, quando Eric Butler, un'applicazione Web freelance e sviluppatore di software a Seattle, ha rilasciato un plug-in per Firefox chiamato Firesheep che automatizza il processo. Con Firesheep in esecuzione all'interno di Firefox, ottieni un elenco di tutti i cookie di autenticazione che sono stati annusati: fai clic sul nome dell'account e- Ecco —stai accedendo all'account dell'utente senza nemmeno dover effettuare il login.
In questo momento l'unico modo per proteggersi dallo sniffing dei cookie è accedere a Facebook utilizzando la connessione crittografata su https://ssl.facebook.com/ . Secondo Axten, il server è ancora in fase di test e sarà promosso più ampiamente come opzione nei prossimi mesi. Aggiunge, come sempre, consigliamo alle persone di prestare attenzione quando si inviano o si ricevono informazioni su reti Wi-Fi non protette.
Axten afferma che Facebook deve affrontare una sfida alla sicurezza che poche, se non nessuna, altre aziende, o addirittura governi, hanno dovuto affrontare: proteggere più di 500 milioni di persone su un servizio che è costantemente sotto attacco. Il fatto che meno dell'1% degli utenti di Facebook abbia mai riscontrato un problema di sicurezza sul sito è un risultato significativo di cui siamo molto orgogliosi.