搜索

[4530] 2017-11-13_云通讯公司Twilio曝“窃听者”漏洞数亿通话数据恐泄露

文档创建者：s7ckTeam
浏览次数：38
最后更新：2025-01-16
2017-11-13_云通讯公司Twilio曝“窃听者”漏洞数亿通话数据恐泄露 云 通 讯 公 司 T w i l i o 曝 “ 窃 听 者 ” 漏 洞 数 亿 通 话 数 据 恐 泄 露 原 创   E 小 编   E 安 全   2 0 1 7 - 1 1 - 1 3 更 多 全 球 网 络 安 全 资 讯 尽 在 E 安 全 官 网 w w w . e a s y a q . c o m E 安 全 1 1 月 1 3 日 讯   移 动 应 用 安 全 公 司 A p p t h o r i t y 发 现 一 个 数 据 泄 露 漏 洞 “ 窃 听 者 ” （ E a v e s d r o p p e r ） ， 影 响 了 近 7 0 0 个 企 业 环 境 中 使 用 的 应 用 程 序 。 攻 击 者 能 访 问 攻 击 者 能 访 问 T w i l i o 账 户 中 的 所 有 元 数 据 账 户 中 的 所 有 元 数 据 A p p t h o r i t y 指 出 ， 开 发 人 员 通 过 T w i l i o   R e s t   A P I   o r   S D K 接 口 开 发 移 动 应 用 程 序 时 使 用 了 硬 编 码 凭 证 。 开 发 人 员 这 样 做 能 对 云 通 讯 公 司 T w i l i o 账 户 中 存 储 的 所 有 元 数 据 进 行 “ 全 局 访 问 ” ， 包 括 短 信 息 、 通 话 元 数 据 和 录 音 。 云 通 讯 公 司 云 通 讯 公 司   T w i l i o T w i l i o 是 一 个 专 注 通 讯 服 务 的 开 放 P a a S 平 台 ， 它 通 过 将 复 杂 的 底 层 通 信 功 能 打 包 成   A P I   并 对 外 开 放 ， 让   w e b 、 桌 面 及 移 动 应 用 可 以 方 便 地 嵌 入 短 信 、 语 音 及   V o I P   功 能 ， 从 而 实 现 云 通 信 功 能 。 企 业 可 以 直 接 通 过 他 们 的   A P I   接 口 接 入 语 音 和 短 信 服 务 ， 无 需 运 营 商 、 无 需 进 行 复 杂 的 通 信 认 证 审 核 、 也 无 需 添 置 和 维 护 各 种 通 信 设 备 ， 所 以 极 大 地 方 便 了 企 业 和 开 发 者 。 T w i l i o 创 立 于 美 国 旧 金 山 ， 其 短 信 业 务 范 围 已 覆 盖   1 5 0   多 个 国 家 和 地 区 ， 但 电 话 服 务 仅 可 在   1 2   个 国 家 适 用 。 与 T w i l i o 有 业 务 往 来 的 科 技 公 司 分 布 多 个 行 业 。 例 如 ， 共 享 经 济 创 业 公 司 U b e r 、 A i r b n b ， 即 时 通 讯 公 司 W h a t s A p p ， 云 存 储 公 司 B o x ， S a a S 公 司 S a l e s f o r c e ， 电 商 e B a y 、 S h o p i f y ， 流 媒 体 公 司 H u l u 等 等 。 利 用 这 些 平 台 提 供 的 服 务 ， W h a t s A p p 用 户 可 以 通 过 电 话 号 码 查 找 好 友 ， 而 U b e r 乘 客 则 可 以 呼 叫 或 发 消 息 给 司 机 。 中 国 也 有 类 似 的 企 业 中 国 也 有 类 似 的 企 业 — — 中 国 的 容 联 云 通 讯 平 台 ， 中 国 的 容 联 云 通 讯 平 台 ， 其 客 户 则 包 括 B A T 、 京 东 、 3 6 0 、 小 米 等 等 。
企 业 企 业 i O S 应 用 程 序 占 比 高 应 用 程 序 占 比 高 研 究 人 员 今 年 7 月 私 下 报 告 漏 洞 ， 他 们 发 现 6 8 5 个 企 业 应 用 程 序 （ 5 6 % 为 i O S 应 用 程 序 ） 与 8 5 个 T w i l i o 开 发 者 账 户 关 联 。 其 中 许 多 应 用 程 序 已 从 苹 果 和 谷 歌 应 用 商 店 移 除 ， 但 截 至 今 年 8 月 ， 仍 有 7 5 和 1 0 2 应 用 程 序 分 别 挂 在 G o o g l e   P l a y 商 店 和 苹 果 应 用 商 店 。 A p p t h o r i t y 表 示 ， 受 影 响 的 安 卓 应 用 下 载 次 数 多 达 1 . 8 亿 次 。 约 有 3 3 % 的 E a v e s d r o p p e r 应 用 程 序 是 企 业 应 用 。 这 个 问 题 自 2 0 1 1 年 一 直 存 在 ， 导 致 数 亿 通 话 记 录 、 录 音 和 短 信 暴 露 。 攻 击 者 可 通 过 硬 编 码 凭 证 对 开 发 者 T w i l i o 账 户 中 的 元 数 据 进 行 “ 全 局 访 问 ” ， 包 括 信 息 、 通 话 元 数 据 和 录 音 。 A p p t h o r i t y 指 出 ， E a v e s d r o p p e r 对 企 业 数 据 构 成 严 重 威 胁 ， 因 为 攻 击 者 可 能 会 访 问 商 业 交 易 相 关 的 保 密 信 息 ， 并 利 用 这 些 数 据 进 行 勒 索 或 牟 取 个 人 利 益 的 行 动 。 但 鉴 于 这 些 应 用 程 序 的 类 型 ， 企 业 很 有 可 能 通 过 这 些 电 话 讨 论 、 谈 判 保 密 商 业 交 易 ， A p p t h o r i t y 称 能 查 看 其 中 的 录 音 ， 别 有 用 心 的 攻 击 分 子 可 能 会 使 用 自 动 化 工 具 将 音 频 转 换 成 文 本 ， 搜 索 特 定 关 键 词 就 能 发 现 有 价 值 的 数 据 。 开 发 人 员 不 良 编 码 习 惯 导 致 该 漏 洞 开 发 人 员 不 良 编 码 习 惯 导 致 该 漏 洞 T w i l i o 在 发 送 给 在 发 送 给 T h r e a t p o s t 的 声 明 中 表 示 ， 硬 编 码 的 声 明 中 表 示 ， 硬 编 码 A P I 凭 证 并 不 是 漏 洞 ， 而 是 不 良 的 编 码 习 惯 。 凭 证 并 不 是 漏 洞 ， 而 是 不 良 的 编 码 习 惯 。 A p p t h o r i t y 表 示 ， 攻 击 者 首 先 可 能 需 要 找 到 暴 露 的 企 业 应 用 程 序 （ 构 建 在 T w i l i o 上 ） 。 例 如 ， 攻 击 者 可 能 会 使 用 Y A R A 规 则 搜 索 特 定 字 符 串 ， 识 别 T w i l i o   I D 和 令 牌 或 密 码 验 证 开 发 者 的 身 份 。 一 旦 获 取 了 开 发 者 账 户 的 访 问 权 ， 窃 取 通 话 和 短 信 数 据 简 直 小 菜 一 碟 。 A p p t h o r i t y 补 充 称 ， 攻 击 者 只 需 探 测 、 利 用 并 窃 取 数 据 。 无 需 执 行 武 器 化 操 作 或 采 取 其 它 措 施 。 一 旦 窃 取 了 信 息 和 音 频 文 件 ， 攻 击 者 可 运 行 简 单 的 脚 本 将 音 频 文 件 转 换 成 文 本 ， 搜 索 关 键 词 查 找 敏 感 数 据 。 T w i l i o 方 面 表 示 已 经 通 知 了 受 影 响 的 客 户 ， 并 一 直 在 与 这 些 客 户 合 作 修 改 A P I 密 钥 ， 并 采 取 安 全 解 决 方 案 。 目 前 未 发 现 未 经 授 权 的 一 方 访 问 这 些 数 据 。 许 多 这 些 应 用 程 序 已 停 用 。
注 ： 本 文 由 E 安 全 编 译 报 道 , 转 载 请 注 明 原 文 地 址 h t t p s : / / w w w . e a s y a q . c o m / n e w s / 5 9 6 0 3 9 8 7 7 . s h t m l 推 荐 阅 读 ： 戴 尔 称 “ 中 国 黑 客 ” 盯 上 日 本 企 业 欲 窃 知 识 产 权 ？ 中 国 黑 客 被 指 与 西 方 航 空 航 天 公 司 遭 R A T 入 侵 有 关 日 本 网 络 战 准 备 加 速 ： 网 络 防 卫 队 将 扩 充 至 千 人 ， 研 究 网 络 攻 击 地 下 黑 客 论 坛 免 费 远 控 木 马 被 曝 “ 后 门 ” 日 本 核 研 究 实 验 室 遭 黑 客 攻 击   研 究 数 据 和 用 户 数 据 被 窃 比 特 币 “ 玩 家 ” 小 心 被 银 行 木 马 T r i c k B o t 盯 上 “ 天 堂 文 件 ” 千 万 富 豪 记 录 惊 现 特 朗 普 与 俄 罗 斯 秘 密 关 系 ▼ 点 击 “ 阅 读 原 文 ”   查 看 更 多 精 彩 内 容 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理