מומחים ישראלים איתרו פרצת אבטחה באמזון ולינקדאין

מומחים ישראלים איתרו פרצת אבטחה באמזון ולינקדאין
מאת: חיים חביב, 9.12.14, 13:41

הפרצה, שזכתה לכינוי ,SpoofedMe אפשרה (טרם סיכולה) גישה למידע אישי רגיש וביצוע פעולות באתר כביכול בשמו של הקורבן וגם אפשרה להפיץ בקלות רבה מידע שגוי, או קוד זדוני.

ראשונים לדווח: חוקרים בישראל הנמנים על קבוצת האבטחה של יבמ X-Force Application Security Research, איתרו פרצת אבטחה המאפשרת לנצל את תהליך הכניסה לאתרים בעזרת ספקי זהות דוגמת לינקדאין ואמזון, לשימוש זדוני - השתלטות על חשבונות משתמשים במגוון אתרים רחב העושים שימוש באותם ספקי זהויות.

בהתאמה למדיניותה הזהירה, הקדימה יבמ וכבר הזהירה את לינקדאין ואמזון, טרם פרסום דבר הפרצה ברבים, ואלו כבר התאימו ועדכנו את מערכותיהן למניעת פגיעה באתרי צד שלישי העושים שימוש במערכות אלו.

אתרי אינטרנט רבים מציעים למשתמשים להיכנס לחשבונותיהם באתר בעזרת שימוש בחשבונות קיימים ברשתות חברתיות, כגון לינקדאין, פייסבוק וטוויטר. זאת, כחלופה להקלדת שם משתמש וסיסמה לכל אתר. חוקרי האבטחה של IBM  גילו, שתהליכי הזדהות מסוימים עלולים לאפשר לתוקף בעל כוונות זדון להזדהות בשם הקורבן.

הפרצה, שכבר זכתה לכינוי SpoofedMe, ("התחזו אלי"), מנצלת 2 חולשות :

1.    חולשה בפלטפורמת ספקי הזהות (לדוגמא לינקדאין(, בה אתר צד שלישי (למשל nasdaq.comׂׂׂׂ(, עושה שימוש באותה פגיעות המאפשרת לתוקף להירשם בכתובת דוא"ל מזויפת של הקורבן ללא צורך להוכיח עליה בעלות. 
2.    פגיעות באתר הצד השלישי, כאשר משתמש בכתובת המייל החוזרת מספק הזהות, בתור המזהה הייחודי של המשתמש.
חוקרי יבמ בישראל, אור פלס (בתמונה) ורועי חי, גילו, שתהליכי זיהוי המשתמש באמזון ובלינקדאין חשופים לפרצת אבטחה זו. ברשימת האתרים המאפשרים הזדהות בעזרת חשבונות לינקדאין, ניתן למצוא, לדוגמא, את  Nasdaq.com, Slashdot.org, Crowdfunder.com  ו-Spiceworks.com.

כיוון שהפורצים יכולים להשתמש ב-SpoofedMe לכניסה לחשבונות משתמשים קיימים באתרים אלה, הם גם מסוגלים לגשת למידע רגיש של המשתמש ולבצע פעולות באתר כביכול בשמו. במקרה, שנכנסו לחשבונות של משתמשים מוכרים ואמינים, הם יכולים גם להפיץ בקלות רבה יותר מידע שגוי או קוד זדוני.

החוקרים מציינים, שלמתקפה זו 2 גורמים ההופכים אותה לקריטית - ניצולה הוא מאוד פשוט והשלכותיה חמורות. לכן, מומלץ ביותר למפתחי אתרים העושים שימוש בספקי זהות, באופן פגיע, ללכת בעקבות ההמלצות לתיקון המופיעות במאמר - כאן.