El token de acceso de Facebook es vulnerable a ataques MITM

Iniciado por wolfbcn, 12 Marzo 2014, 13:43 PM

0 Miembros y 2 Visitantes están viendo este tema.

wolfbcn

Facebook dispone de varias funciones añadidas de seguridad que mejoran la seguridad de las cuentas de los usuarios frente a ataques. Una de estas medidas de seguridad es un token de acceso temporal que se utiliza en aplicaciones como Candy Crush Saga que, una vez que el usuario acepta la aplicación, funciona como una "cuenta temporal" de manera que la aplicación no tiene acceso a los credenciales originales del usuario de forma directa.

Dependiendo del tipo de aplicación de que se trate, los tokens de acceso a la API pueden tener unos permisos u otros, por ejemplo, los token de acceso de las aplicaciones fiables de Facebook pueden hasta escribir mensajes en el tablón. Estos token son bastante sensibles ante los ataques ya que cualquiera que tenga acceso a ellos puede utilizar esta "cuenta temporal" para acceder a la cuenta de Facebook de la víctima y llevar a cabo cualquier acción en nombre del usuario mientras dicho token sea válido.

El intercambio de estos tokens entre los usuarios y las aplicaciones no está cifrado, por lo que cualquier usuario que lleve a cabo un ataque man-in-the-middle a la red podría tener fácilmente acceso a estos datos y suplantar sin mucha dificultad la identidad de la víctima.

http://www.redeszone.net/wp-content/uploads/2014/03/hacking-facebook-account-toke-mitm-655x350.jpg

La única forma de protegerse de estos ataques es que los desarrolladores de las aplicaciones de Facebook implementen y utilicen conexiones HTTPS cifradas en todos sus procesos de autenticación e intercambio de datos privados desde sus servidores. Mientras esto no ocurra, esta vulnerabilidad estará presente y permitirá suplantar fácilmente identidades de Facebook a través de un token de acceso temporal de una aplicación.

Según Facebook, obligar a las aplicaciones a utilizar el protocolo HTTPS no es práctico actualmente, por lo que la decisión final de utilizarlo o no recaerá en los desarrolladores.

¿Qué te parece esta vulnerabilidad? ¿Qué crees que puede hacer Facebook para evitar que esto ocurra?

Fuente: The Hacker News

http://www.redeszone.net/2014/03/12/el-token-de-acceso-de-facebook-es-vulnerable-ataques-mitm/
La mayoria pedimos consejo cuando sabemos la respuesta, pero queremos que nos den otra.

Gh057

interesante wolfbcn, aunque en realidad lo que es vulnerable no es la aplicación al mitm, sino la red en la que corre la misma... si uno está bajo un ataque de ese tipo, cualquier flujo de datos puede ser manipulado. obviamente es una falla tener la aplicación bajo https y que haya aplicaciones en plano corriendo, pero no es "vulnerable" al mitm, simplemente facilita la manipulación cuando el mismo está siendo implementado. saludos.
4 d0nd3 1r4 3l gh057? l4 r3d 3s 74n v4s74 3 1nf1n1t4...

Gh057

jajajajajaa nooooo me encanta! se amalgama lo técnico con lo "apocalíptico" y con un touch de color muy ameno y gracioso. cada vez que leo una nota, siento la necesidad de tener una buena taza de café (o una copita de buen vino dependiendo la hora jejejejeee) mientras escribo  :laugh:

4 d0nd3 1r4 3l gh057? l4 r3d 3s 74n v4s74 3 1nf1n1t4...

Kami

Venga... y que más... ¿Quién redacta estos artículos?...

Facebook, twitter, google... usan tokens similares (oAuth...), como bien se ha dicho, lo vulnerable es la red...

Para mi esto es similar a escribir tu pass en un PC con un keylogger y decir que el culpable es facebook...

#!drvy

e.e

No se metan con los "periodistas".. con todo el paro y recortes que hay.. seguramente les metieron por enchufe y no tienen ni conocimiento ni medios para adquirirlo.. solo hay que darles una palmadita y despedirlos amablemente.... luego que porque hay bullying  xD

PD: Obviamente va dirigido al autor del articulo.. no a wolfbcn ·_·

Saludos

Gh057

jajajajaajaaa si obvio wolfbcn es nuestro vocero! y el periodista se lleva los aplausos también, le mete unos matices interesantes para el debate, aunque haya algún desliz técnico jajajaaa
4 d0nd3 1r4 3l gh057? l4 r3d 3s 74n v4s74 3 1nf1n1t4...

Kami

Cita de: Gh057 en 12 Marzo 2014, 15:58 PM
jajajajaajaaa si obvio wolfbcn es nuestro vocero! y el periodista se lleva los aplausos también, le mete unos matices interesantes para el debate, aunque haya algún desliz técnico jajajaaa

Es como si tu que eres chico la quieres meter y te la acaban metiendo, total, un desliz técnico xDDDD

Gh057

4 d0nd3 1r4 3l gh057? l4 r3d 3s 74n v4s74 3 1nf1n1t4...

basickdagger

ps hace tiempo hice una aplicación para facebook de un proyecto de la escuela y recuerdo que era casi obligatorio alojar tu aplicación en servidores con SSL, ya que no todos los usuarios podían ver la App...

xustyx

XDDD con un MITM lo más sencillo y fácil es pillar la cookie para que complicarse con tokens y movidas...