211service.com
Privacy di Facebook compromessa da attacchi di cloaking
Le statistiche sono sbalorditive. Facebook ha circa 750 milioni di utenti, la metà dei quali accede ogni giorno. L'utente medio ha 130 amici e trascorre circa 60 minuti al giorno ad armeggiare sulla rete.
Non è un segreto che Facebook abbia avuto la sua giusta dose di controversie sulla privacy e di conseguenza la rete è stata costretta a cambiare le sue impostazioni sulla privacy molte volte nei suoi sette brevi anni di esistenza.
Quella polemica è destinata a continuare. Oggi, Shah Mahmood e Yvo Desmedt dell'University College di Londra affermano di aver trovato una scappatoia nelle impostazioni sulla privacy di Facebook che consente lo stalking continuo degli utenti di Facebook in un modo difficile da individuare e quasi impossibile da fermare.
Il difetto si verifica perché Facebook consente agli utenti di disattivare e riattivare i propri account in modo illimitato e senza restrizioni. Mentre un account è disattivato, le impostazioni sulla privacy associate a quell'account non possono essere modificate.
Quindi, se fai amicizia con qualcuno in modo che possa vedere i tuoi contenuti e poi disattivi il suo account, non puoi modificare le impostazioni sulla privacy associate a quell'account fino a quando non viene riattivato (a meno che tu non applichi una modifica globale a tutti i tuoi amici).
L'attacco di Mahmood e Desmedt implica chiedere alle persone di fare amicizia con loro e quindi disattivare il loro account. Quindi si riattivano per brevi periodi di tempo, controllano il contenuto dei loro amici e disattivano immediatamente l'account.
Il concetto qui è molto simile a quello dell'occultamento in Star Trek dove Badass Blink o Jem'Hadar devono svelare (essere visibili), anche se solo per un momento, per aprire il fuoco, dicono.
L'unico modo per fermarlo è essere online nello stesso momento in cui il ficcanaso si riattiva e modificare le impostazioni sulla privacy in quel momento o modificare le impostazioni sulla privacy di tutti i tuoi amici o del gruppo di amici in cui si trova l'attaccante.
Mahmood e Desmedt hanno testato questo tipo di attacco di occultamento per un periodo di 600 giorni utilizzando un account Facebook impostato con uno pseudonimo. Durante i primi 285 giorni hanno inviato 595 richieste di amicizia di cui 370 sono state accettate. Hanno anche ricevuto 3969 richieste di amicizia che hanno accettato, per un totale di oltre 4000 amici.
Sono quindi passati alla modalità di cloaking disattivando il loro account e controllando regolarmente i loro amici riattivandoli solo per periodi di 10 minuti, che sono sufficienti per eseguire la scansione di centinaia di profili e tenere traccia di qualsiasi attività. Nessuno dei nostri amici avrebbe potuto tecnicamente eliminarci dall'amicizia durante questa fase, dicono.
Alla fine, hanno riattivato l'account e l'hanno lasciato inattivo per 60 giorni per vedere quante persone li hanno cancellati. In quel periodo, 239 persone non hanno avuto amicizia, poco più del 5% del totale.
Ci sono diversi motivi per pensare che questo sia un tipo di attacco potenzialmente serio. Gli attacchi occultati sono difficili da individuare e ancora più difficili da fermare. Inoltre, un aggressore determinato può monitorare non solo gli individui, ma anche i collegamenti tra di loro, ottenendo informazioni preziose sulla relazione tra le vittime. Facebook ha recentemente aggiunto la funzione 'sfoglia amicizia' che rivela informazioni come la data in cui sono diventati amici di Facebook, gli eventi a cui hanno partecipato entrambi, i loro amici comuni e così via.
Una volta che l'aggressore è amico della vittima, è altamente probabile che abbia accesso indefinito alle informazioni private della vittima in modo nascosto, dicono Mahmood e Desmedt. ,
Detto questo, Mahmood e Desmedt affermano che il problema dovrebbe essere relativamente facile da risolvere. Facebook potrebbe, ad esempio, dirti quando un amico si è disattivato e tenere traccia di quelle persone che si disattivano e si riattivano regolarmente. L'azienda potrebbe anche consentire di modificare le impostazioni sulla privacy associate agli amici disattivati.
L'unica domanda è quanto velocemente Facebook reagirà a questa minaccia e così facendo si aggiungerà al crescente catalogo di modifiche che è stato costretto ad apportare alle sue funzionalità di privacy.
Rif: arxiv.org/abs/1203.4043 : Il tuo amico disattivato da Facebook o una spia occultata
Aggiornamento: 23 marzo 2012
Facebook invia la seguente dichiarazione tramite un'agenzia di pubbliche relazioni:
All'inizio di questa settimana un team di ricercatori sulla sicurezza ha descritto un difetto teorico nella nostra interfaccia utente; gli utenti non sono stati precedentemente in grado di rimuovere gli amici dagli account disattivati. Abbiamo lavorato rapidamente per risolvere questo problema e siamo stati in grado di implementare una modifica alla nostra interfaccia utente entro 48 ore dalla ricezione di questi rapporti.
Sebbene apprezziamo tutto il lavoro svolto per aiutare a mantenere Facebook al sicuro, abbiamo diverse preoccupazioni legittime su questa ricerca dell'University College di Londra. Siamo rimasti delusi dal fatto che ciò non ci sia stato comunicato attraverso la nostra Politica di divulgazione responsabile e sia stato fatto in violazione dei nostri termini. Incoraggiamo tutta la comunità della sicurezza a utilizzare il nostro programma White Hat, che fornisce strumenti di ricerca e canali di segnalazione dei bug. Inoltre, come sempre, incoraggiamo le persone a connettersi solo con persone che conoscono effettivamente e a segnalare eventuali comportamenti sospetti che osservano sul sito.