搜索

[8128] 2014-07-15_Facebook的SDK漏洞威胁数以百万计的手机用户账户

文档创建者：s7ckTeam
浏览次数：36
最后更新：2025-01-17
2014-07-15_Facebook的SDK漏洞威胁数以百万计的手机用户账户 F a c e b o o k 的 S D K 漏 洞 威 胁 数 以 百 万 计 的 手 机 用 户 账 户 x i a 0 k   F r e e B u f   2 0 1 4 - 0 7 - 1 5 来 自 来 自 M e t a I n t e l l 智 能 手 机 领 导 风 险 管 理 （ 智 能 手 机 领 导 风 险 管 理 （ M R M ） 的 安 全 研 究 人 员 ， 发 现 了 一 个 最 新 版 的 ） 的 安 全 研 究 人 员 ， 发 现 了 一 个 最 新 版 的 F a c e b o o k 的 的 S D K 中 的 漏 洞 ， 中 的 漏 洞 ， 该 漏 洞 会 暴 露 数 以 百 万 计 的 该 漏 洞 会 暴 露 数 以 百 万 计 的 F a c e b o o k 的 用 户 的 身 份 认 证 令 牌 ， 听 起 来 还 是 很 吓 人 的 。 的 用 户 的 身 份 认 证 令 牌 ， 听 起 来 还 是 很 吓 人 的 。 F a c e b o o k 的 对 于 A n d r o i d 和 I O S 的 S D K 提 供 了 使 用 身 份 验 证 登 录 F a c e b o o k ， 读 取 和 写 入 到 F a c e b o o k   A P I 等 许 多 简 易 方 式 。 F a c e b o o k 的 O A u t h 认 证 或 说 “ 以 F a c e b o o k 账 户 ” 登 录 的 机 制 ， 提 供 了 一 种 无 需 用 户 输 入 用 户 名 或 者 密 码 就 能 在 第 三 方 a p p 上 直 接 登 录 的 个 性 化 而 安 全 的 方 式 。 F a c e o o k 的 S D K 通 过 实 现 O A u t h 2 . 0 的 用 户 代 理 流 程 来 获 取 应 用 所 需 要 的 访 问 令 牌 ， 从 而 实 现 利 用 F a c e b o o k 的 A P I 来 实 现 读 取 ， 修 改 或 写 入 用 户 的 F a c e b o o k 数 据 的 功 能 。 访 问 未 加 密 的 访 问 令 牌 访 问 未 加 密 的 访 问 令 牌 用 户 的 私 人 的 秘 密 访 问 令 牌 本 应 当 永 远 不 会 与 任 何 人 共 享 。 但 令 人 惊 奇 的 是 ， 研 究 人 员 发 现 ， F a c e b o o k 的 S D K 库 直 接 把 令 牌 以 明 文 格 式 存 储 在 设 备 上 ， 任 何 人 都 能 轻 易 地 获 取 A n d r o i d 或 者 I O S 的 加 密 令 牌 ， 而 完 全 不 需 要 r o o t 或 者 越 狱 ， 我 和 我 的 小 伙 伴 都 惊 呆 了 ！ “ 在 一 台 I O S 设 备 上 ， 插 上 U S B 之 后 ， 仅 仅 需 要 5 秒 钟 ， 就 可 以 通 过 j u i c e   j a c k i n g   攻 击 获 取 到 访 问 令 牌 。 ” M e t a I n t e l l 的 首 席 架 构 师 C h i l i k   T a m i r 告 诉 记 者 。 来 自 其 他 程 序 的 威 胁 来 自 其 他 程 序 的 威 胁 他 还 说 ， 除 此 之 外 ， 我 们 手 机 上 的 任 何 被 赋 予 读 取 文 件 系 统 权 限 的 a p p 都 能 够 远 程 访 问 或 者 偷 取 用 户 的 F a c e b o o k 访 问 令 牌 。 研 究 人 员 戏 称 为 漏 洞 “ 社 会 登 录 会 话 劫 持 ” 。 该 漏 洞 一 旦 被 利 用 ， 便 可 以 让 攻 击 者 通 过 访 问 令 牌 和 会 话 劫 持 的 方 法 来 访 问 受 害 者 的 F a c e b o o k 帐 户 信 息 。 视 频 演 示 视 频 演 示 研 究 人 员 在 y o u t u b e 上 发 布 了 一 段 视 频 ， 该 视 频 展 示 了 研 究 人 员 是 如 何 通 过 I O S 版 的 V i b e r 利 用 这 个 漏 洞 的 。 （ 很 明 显 ， V i b e r 使 用 了 F a c e b o o k 的 O A u t h 认 证 登 录 方 式 ） 演 示 视 频 ： h t t p : / / w w w . y o u t u b e . c o m / w a t c h ? v = 1 f y l U F _ Y U q k   / / 需 要 翻 墙 C h i l i k   T a m i r   说 ， 所 有 使 用 F a c e b o o k 的 O A u t h 认 证 方 式 登 录 的 i O S 和 A n d r o i d 应 用 程 序 都 非 常 容 易 受 到 这 种 攻 击 。 研 究 人 员 在 b l o g 中 写 道 ， “ M e t a I n t e l l 已 确 定 的 前 1 0 0 名 免 费 i O S 应 用 程 序 中 ， 有 7 1 个 是 使 用 F a c e b o o k   S D K 的 ， 而 这 些 a p p 的 下 载 量 已 经 达 到 了 1 2 亿 ， 影 响 范 围 相 当 广 。 而 在 排 名 前 1 0 0 位 的 A n d r o i d 应 用 程 序 中 ， 有 3 1 个 a p p 利 用 F a c e b o o k 的 S D K ， 下 载 次 数 则 超 过 了 1 0 0 0 亿 。 ” F a c e b o o k 的 安 全 团 队 的 回 应 的 安 全 团 队 的 回 应
M e t a I n t e l l 团 队 已 经 通 知 了 F a c e b o o k 的 安 全 团 队 有 关 该 漏 洞 的 信 息 ， 但 貌 似 F a c e b o o k 没 有 修 复 S D K 的 打 算 。 收 到 M e t a l I n t e l l 的 漏 洞 报 告 之 后 ， F a c e b o o k 回 应 到 ： “ 我 跟 进 了 我 们 的 平 台 开 发 团 队 ， 看 看 他 们 是 否 会 在 这 方 面 作 出 任 何 变 更 ： - 在 A n d r o i d 方 面 ， 我 们 已 经 得 出 结 论 ， 我 们 不 会 做 任 何 改 变 ： 我 们 认 为 安 卓 系 统 提 供 的 安 全 等 级 是 足 够 高 的 。 - 另 一 方 面 ， 我 们 的 I O S 团 队 正 在 探 索 以 最 安 全 方 式 将 访 问 令 牌 存 储 到 通 过 密 钥 方 可 访 问 的 储 存 位 置 的 可 能 性 。 “ 我 们 应 当 怎 么 应 对 ？ 我 们 应 当 怎 么 应 对 ？ 移 动 应 用 程 序 的 用 户 应 尽 量 不 要 使 用 移 动 应 用 程 序 中 的 “ 通 过 F a c e b o o k 登 录 ” 选 项 ， 同 时 禁 止 应 用 程 序 使 用 他 们 的 F a c e b o o k 登 录 。 对 于 应 用 程 序 开 发 人 员 ， 我 们 建 议 将 用 户 的 访 问 令 牌 从 本 地 存 储 转 移 到 有 安 全 加 密 传 输 的 线 上 加 密 存 储 空 间 中 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理