Tereza MalkusováEtičtí hackeři, někdy označovaní anglicky jako white hat, se často zaměřují na běžné služby a hledají slabá místa softwaru, která by mohla potenciálně ohrozit uživatele. Tyto slabiny potom hlásí vývojářům služeb, kteří následně vydají odpovídající bezpečnostní aktualizaci.
Řada firem nabízí finanční odměnu, pokud někdo jakékoli zranitelnosti odhalí a ohlásí.
Ukrást účet šlo přes obnovu hesla
Jedním z těch, kteří hledají zranitelnosti v sociálních sítích je Laxman Muthiyah, indický výzkumník, který byl za odhalení chyb v srpnu od Facebooku odměněný.
Muthiyah popsal způsob, jak bylo možné odcizit uživatelský účet v rámci procesu pro obnovu hesla.
Při žádosti o nové heslo k instagramovému účtu obdrží uživatel šestimístný kód, který slouží pro ověření identity. Platnost kódu je 10 minut. Obnova hesla má i další opatření proti takzvaným brute-force útokům, tedy automatizovaným pokusům prolomit kód zkoušením všech možných kombinací. Je také omezený počet pokusů z jedné IP adresy. Muthiyah zadal tisíce požadavků, prošlo jich jen 250.
Po dalším testování ale přišel na dva způsoby, jak omezení počtu požadavků obejít. První možností je tzv. race hazard, neboli chyba v elektronických procesech, kdy výstup závisí na pořadí nebo načasování jiných událostí.
Druhou možností je odesílat souběžně požadavky z různých IP adres. Muthiyah využil 1 000 IP adres a díky tomu se mu podařilo u testovacího účtu vyzkoušet 200 000 kombinací. V reálném prostředí by podle něj bylo nutné využít 5 000 IP adres. Pokud by útočník využil cloudovou službu, mohl by provést až milion pokusů a stálo by to jen pár desítek dolarů.
Celý proces Muthiyah popsal ve videu. Sociální síť na základě zjištění začala vyvíjet a testovat nový proces pro obnovu zapomenutého hesla.
Další zranitelnost odhalil etický hacker, který vystupuje pod přezdívkou Zhacker13. Chyba umožnila spojit celé telefonní číslo a jméno s informacemi v instagramovém účtu. Facebook chybu potvrdil a opravil.
5 rad, jak si zabezpečit Instagram
- Útočníci využívají známé zranitelnosti. Vždy si aktualizujte operační systém a programy v počítači. Aktualizace obsahují důležité bezpečnostní opravy.
- Aktualizujte i aplikace v mobilním telefonu a tabletu.
- Instalujte aplikace z oficiálních zdrojů. Přečtete si, jak poznat podezřelou aplikaci.
- Používejte bezpečnostní řešení s anti-phisingem. Právě falešné přihlašovací stránky jsou častý způsob, jak se útočníci snaží získat přístupové údaje. Vyzkoušejte si, zda poznáte phishing.
- Zapněte si dvoufaktorové ověřování, které Instagram nabízí.
Lucie Mudráková
