Инсайды / (Обновлено) Из агрегатора социальных сервисов утекли пароли пользователей (+)

  • 22.07.2008 12:53:47
Редакция Roem.ru не несет ответственности за материалы, размещенные в этом разделе читателями ресурса. Они добавляются через форму на сайте, и могут быть опубликованы без предварительной модерации.

Недавно забаненный на "Вконтакте" амбициозный стартап Bestpersons.ru стал участником очередного скандала.

Как выяснилось, сервис призванный "объединить социальные сети", крайне уязвим по нескольким направлениям сразу:
1. Хранит пароли пользователей в незашифрованом виде
2. Высылает этот незашифрованный пароль при смене email
3. Не требует ввода пароля при смене данных пользователя
4. Не имеет ограничения на сессию пользователя по IP
5. Позволяет внедрить JavaScript на страницы.

Итого, путём простого алгоритма - внедрить JS -> украсть сессионную куку-> залогиниться с её помощью-> сменить email
можно довольно просто получить строку с паролем на этот новый email.

Ситуация осложняется тем, что после получения доступа к аккаунту "Бестперсонс" можно частично управлять любым социальным сервисом, который пользователь подключил к своему профилю, к примеру отправлять посты.

Это сподвигло многих пользователей узнавших об уязвимости к полному самоудалению из системы.

При этом, если учесть, что большинство пользователей по прежнему предпочитают использовать один пароль на все случаи жизни, ущерб для пользователей Bestpersons оказывается еще больше.

Update: "Сам Bestpersons сообщил, что: произошла атака на сервис Bestpersons.ru.
XSS атаке была подвержена небольшая часть аккаунтов.
Пароли пользователей bestpersons к сторонним ресурсам защищены и украдены не были.
Так как, даже зная пароль пользователя на bp, нельзя получить пароли от его сайтов.
С использованием уже устраненной уязвимости в дневники некоторых пользователей были отправлены странные сообщения. Еще раз напоминаем, что пароли на сайты пользователей никто не узнал.
Мы приносим свои извинения пользователям, которых затронул данный инцидент". Конец цитаты

Однако, с учетом того, что пароли могли быть одними и теми же - они могли утечь. С хакнутых аккаунтов была проведена рассылка бессмысленных сообщений с текстом, содержащим символы 9c951267

Лучшие комментарии

  • Meneldor
  • 22.07.2008 15:04:24
  • интернетчик

Сразу же самоудалился с сервиса, как только прочитал эту историю на Хабре. В своё время даже ввёл пару паролей для эксперимента, но вовремя одумался и удалил их. К счастью, сервис хотя бы удаляет пароли по-настоящему, а то теперь я не удивился бы, если бы на самом деле они где-то спрятались.

Думаю, что сервису после такого скандала смерть... А ведь так хорошо смотрелся!

Контекст комментария

А вот и описание событий: http://romanser.habrahabr.ru/blog/47343.html

Контекст комментария

Комментарии RSS

  • Текст закрыт для комментирования
  1. ха ха ха
    я тоже с опаской гляжу на сервисы, предлагающие ввести пароль не для себя, а для других сервисов
    нафиг надо все яйца в одну корзину клсть?
    к тому же, "амбиции" Бестперсонса далеки от реалий
  2. Ещё один повод всем крупным сервисам ещё раз задуматься о том, не пора ли принять за правило моментально отключать любой подобный агрегатор.
    • Alter Ego
    • Alter Ego
    • 22.07.2008 13:44:12 #
    Или разрабатывать API, в том случае если компания не против такой функциональности.
    Вообще, интересно, какой-нибудь Meebo этому счастью тоже подвержен?
  4. По видимому, рассылка сообщений была не с хакнутых аккаунтов, а со всех.
  5. на самом деле апи бы не сильно помог

    если дырявый сервис может автоматически добавлять записи на второй сервис, то неважно, каким именно образом осуществляется доступ — по паролю или через api
  6. А зачем рассылать со всех?
  7. Зачем - другой вопрос.

    Но посты появлялись и у тех людей, кто не заходил на bestpersons уже давно, а значит не мог попасться на XSS.
  8. Видимо спёрли в том числе и админский доступ.

  9. Лучший комментарий. Развернуть?

  10. Лучший комментарий. Развернуть?

  • Текст закрыт для комментирования

Новости

Инсайды, Слухи, Открытки

Новые комментарии RSS

Почитать

От читателей

Чтобы добавлять свои ссылки, надо зарегистрироваться на сайте