Instagram ima ozbiljan sigurnosni propust, napadači mogu da hakuju bilo koji Instagram nalog za samo 10 minuta

Društvene mreže, 16.07.2019, 02:30 AM

Instagram ima ozbiljan sigurnosni propust, napadači mogu da hakuju bilo koji Instagram nalog za samo 10 minuta

Instagram je ispravio sigurnosni propust koji je mogao omogućiti hakerima da kompromituju bilo koji Instagram nalog bez ikakve pomoći korisnika.

Detalji o ovoj kritičnoj ranjivosti Instagrama pojavili su se juče na internetu. Ona bi mogla omogućiti udaljenom napadaču da resetuje lozinku za bilo koji Instagram nalog i preuzme potpunu kontrolu nad njim.

Ranjivost je otkrio i Instagramu prijavio indijski lovac na nagrade za bagove Laksman Muthijah. Problem je u mehanizmu za oporavak lozinke koji je implementiran u mobilnu verziju Instagrama.

„Poništavanje lozinke“ ili „oporavak lozinke“ je funkcija koja omogućava korisnicima da ponovo dobiju pristup svom nalogu na web sajtu u slučaju da su zaboravili svoju lozinku.

Na Instagramu, korisnici moraju da potvrde šestocifreni tajni pristupni kod (koji ističe posle 10 minuta) koji se šalje na odgovarajući mobilni broj ili email nalog kako bi dokazali svoj identitet.

To znači da jedna od milion kombinacija može da otključa bilo koji Instagram nalog napadom brutalnom silom, ali to nije tako jednostavno kao što zvuči, jer Instagram ima ograničenje koje sprečava pokušaje takvih napada.

Međutim, Laksman je otkrio da se ovo ograničenje može zaobići slanjem zahteva sa različitih IP adresa i slanjem istovremenih zahteva za obradu više pokušaja istovremeno.

Laksman je objavio video u kome je pokazao kako bi izgledalo preotimanje Instagram naloga sa 200000 različitih kombinacija pristupnih kodova bez blokiranja.

U slučaju pravog napada, napadaču je potrebno 5000 IP adresa da hakuje nalog. Zvuči mnogo, ali to je stvarno lako ako koristite cloud usluge Amazona ili Googlea. Napad sa milion kodova bi koštao oko 150 dolara.

Laksman je takođe objavio dokazni koncept za ranjivost, koju je Instagram ispravio. Kompanija je nagradila Laksmana sa 30000 dolara.

Da bi zaštitili svoje naloge od različitih vrsta napada, kao i da bi smanjili šanse napadača da kompromituju njihove naloge kada direktno napadaju ranjive aplikacije, korisnicima se preporučuje da omoguće „dvofaktornu autentifikaciju“, što može sprečiti hakere da pristupe nalogu čak i ako im nekako uspe da ukradu lozinku.


Prijavite se na našu mailing listu i primajte najnovije vesti (jednom dnevno) putem emaila svakog radnog dana besplatno:

Izdvojeno

Facebook želi da koristi slike koje nikada niste objavili za obuku AI modela

Facebook želi da koristi slike koje nikada niste objavili za obuku AI modela

Facebook već godinama koristi javne objave, fotografije i interakcije korisnika za obuku veštačke inteligencije. Kompanija je već iskoristila javn... Dalje

Facebook uvodi passkey – bezbedniji način prijave bez lozinke

Facebook uvodi passkey – bezbedniji način prijave bez lozinke

Facebook je najavio da uvodi passkey (digitalni ključ) kao novi način prijavljivanja na mobilnim uređajima, bez potrebe za klasičnim lozinkama. Ov... Dalje

Zašto sajber kriminalci traže posao na LinkedIn-u

Zašto sajber kriminalci traže posao na LinkedIn-u

Sajber kriminalci iz poznate grupe FIN6 predstavljaju se kao ljudi koji traže posao na platformama poput LinkedIn-a kako bi zarazili poslodavce malve... Dalje

Oglasi za lažne AI video generatore na Facebook-u i LinkedIn-u šire malvere

Oglasi za lažne AI video generatore na Facebook-u i LinkedIn-u šire malvere

Mandiant Threat Defens upozorava korisnike na prevaru iza koje stoji grupa UNC6032 koja na društvenim mrežama postavlja oglase za lažne AI video al... Dalje

TikTok video snimci šire malvere Vidar i StealC

TikTok video snimci šire malvere Vidar i StealC

Sajber kriminalci koriste TikTok video snimke za širenje malvera za krađu informacija Vidar i StealC u ClickFix napadima, upozorava Trend Micro. Re... Dalje