تبلیغات
تبلیغات متنی
محبوبترینها
قیمت انواع دستگاه تصفیه آب خانگی در ایران
نمایش جنگ دینامیت شو در تهران [از بیوگرافی میلاد صالح پور تا خرید بلیط]
9 روش جرم گیری ماشین لباسشویی سامسونگ برای از بین بردن بوی بد
ساندویچ پانل: بهترین گزینه برای ساخت و ساز سریع
خرید بیمه، استعلام و مقایسه انواع بیمه درمان ✅?
پروازهای مشهد به دبی چه زمانی ارزان می‌شوند؟
تجربه غذاهای فرانسوی در قلب پاریس بهترین رستوران‌ها و کافه‌ها
دلایل زنگ زدن فلزات و روش های جلوگیری از آن
خرید بلیط چارتر هواپیمایی ماهان _ ماهان گشت
سیگنال در ترید چیست؟ بررسی انواع سیگنال در ترید
بهترین هدیه تولد برای متولدین زمستان: هدیه‌های کاربردی برای روزهای سرد
صفحه اول
آرشیو مطالب
ورود/عضویت
هواشناسی
قیمت طلا سکه و ارز
قیمت خودرو
مطالب در سایت شما
تبادل لینک
ارتباط با ما
مطالب سایت سرگرمی سبک زندگی سینما و تلویزیون فرهنگ و هنر پزشکی و سلامت اجتماع و خانواده تصویری دین و اندیشه ورزش اقتصادی سیاسی حوادث علم و فناوری سایتهای دانلود گوناگون
مطالب سایت سرگرمی سبک زندگی سینما و تلویزیون فرهنگ و هنر پزشکی و سلامت اجتماع و خانواده تصویری دین و اندیشه ورزش اقتصادی سیاسی حوادث علم و فناوری سایتهای دانلود گوناگون
آمار وبسایت
تعداد کل بازدیدها :
1834175124
آسیب پذیری فیس بوک به واسطه ی اینستاگرام
واضح آرشیو وب فارسی:پایداری ملی: یک محقق امنیتی به مشاجره بر سر افشای یک آسیب پذیری امنیتی با فیس بوک پرداخته است. این آسیب پذیری نه تنها حفره ای در داخل این شبکه ی اجتماعی است بلکه گفته می شود نشانه های فعالیت های مجرمانه را نیز داراست.وسلی وینبرگ، کارمند قراردادی شرکت امنیتی سیناک امروز در وبلاگ شخصی خود و رایانامه ای که به تریت پست ارسال کرده است اعلام کرده که یک ضعف امنیتی در زیرساخت اینستاگرام یافته است که به او اجازه ی دسترسی به کدهای منبع نسخه های اخیر اینستاگرام، گواهی نامه های SSL و کلیدهای محرمانه ی وب گاه Instagram.com ، کلیدهایی که برای امضای کوکی های احراز هویت استفاده می شوند، حساب های اعتباری کارگزارهای رایانامه و کلیدهایی برای چند عمل کرد مهم و حیاتی دیگر شامل کلیدهای امضای برنامه های اندروید و آی او اس و کلیدهای اطلاعیه های ارسالی برای آی او اس، را داده است. همچنین وینبرگ به حساب های کاربری کارکنان و رمزهای آنان نیز دسترسی پیدا کرده است، برخی از آن ها را شکسته و به تصاویر کاربری ذخیره شده در آمازون و اطلاعات دیگری دسترسی یافته است که گفته می شود تنها با نقض حریم خصوصی از سوی فیس بوک می توان در اختیار داشت. وینبرگ می گوید: «این که گفته شود من اساساً به همه ی کلیدهای مخفی اینستاگرام دسترسی پیدا کرده ام شاید قضاوتی عادلانه باشد. با این کلیدهایی که من به دست آورده ام می توان به راحتی در اینستاگرم به جعل هویت پرداخته و خود را به جای هر کاربر معتبر دیگری جا زد. به این شکل می توانم به راحتی به حساب کاربری، تصاویر و اطلاعات هر کدام از کاربران دسترسی کامل داشته باشم. مشخص نیست که چرا باید استفاده از این اطلاعات به دست آمده برای به خطر انداختن کارگزارهای اصلی تا این حد ساده باشد، اما قطعا دسترسی به این داده ها فرصت های زیادی را برای شخص ایجاد می کند.» نحوه ی دسترسی وینبرگ به گنجینه ی کلیدهای اینستاگرام که این گونه خشم فیس بوک را برانگیخته است، توضیح داده شده است. وینبرگ سه ایراد متفاوت را یافته و آن ها را در تاریخ میان ۲۱ اکتبر تا یکم دسامبر گزارش داد. او برای اولین گزارش خود ۲۵۰۰ دلار دریافت کرد ولی دومین و سومین گزارش او به فیس بوک واکنش های بسیار متفاوتی را از سوی فیس بوک موجب شد که با هشداری مبنی بر این که تحقیق وینبرگ فراتر از محدوده ی برنامه ی «پاداش در برابر گزارش» رفته است و در پایان با تماسی از سوی مدیر اجرایی شرکت فیس بوک به مدیرعامل شرکت Synack جی کاپلان خاتمه یافت؛ که در ضمن آن تهدید کرد اقدامات قانونی و شاید قضایی را علیه وینبرگ به کار خواهد گرفت. در بیانیه ای که در فیس بوک منتشر شد، استاموس گفت که ورود وینبرگ به داده های سامانه و کاربران این شرکت نه مجاز و نه اخلاقی بوده است. آن ها همچنین وینبرگ را متهم کردند که از جایزه ی داده شده خرسند نبوده است و در نتیجه می خواهد درباره ی کلیدها و دیگر داده هایی که به دست آورده است مطالبی را انتشار دهد. استاموس با گفتن این نکته که عقیده دارد وینبرگ این کار را به نفع شرکت Synack انجام داده است، به کاپلان مدیرعامل این شرکت تلفن زده است. استاموس نوشته است: «من به Jay گفتم که ما نمی توانیم به Wes اجازه بدهیم که او سنتی را ایجاد کند که هر کس به خود اجازه دهد به داده های دیگران دسترسی پیدا کند و آن را بخشی از تحقیقات قانونی خود برای کشف حفره های امنیتی عنوان کند و می خواهم که این موضوع را خارج از بحث میان وکلای دو شرکت نگه دارم. من شرکت Synack و وینبرگ را به انجام اقدامات قانونی تهدید نکرده ام و از آن ها نخواسته ام که وینبرگ را اخراج کنند. من می گویم که رفتار وسلی به ضرر او و شرکت Synack خواهد بود، زیرا که از نظر ما باید معطوف به گزارش های قانونی RCE باشد و نه این که حول مسائل غیر ضروری و کارگزارهایS۳ و بارگیری اطلاعات دور بزند.» استاموس گفت کاپلن به او گفته است که شرکت Synack سفارش این تحقیقات را به وینبرگ نداده است و از آن ها چشم پوشی نخواهد کرد. وینبرگ در گفتگو با تریت پست: «به نظر می رسد که نگرانی فیس بوک از این است که عموم مردم بدانند من چه اطلاعاتی را کسب کرده ام و این که این اطلاعاتی را که به دست آورده ام در معرض دید عموم قرار دهم.» ضمناً فیس بوک در بیانیه ای اعلام کرده است که همه کلید هایی که وین برگ به آن ها دسترسی داشته است تغییر یافته اند و همه راه هایی که وی به وسیله ی آن ها قادر به دسترسی به زیرساخت های اینستاگرام شده است، قطع گردیده است. فیس بوک مدعی است که وین برگ اطلاعات مربوط به نقاط آسیب پذیر را اعلام نکرده است و از مرزهای تعیین شده برای برنامه ی جایزه ی کشف حفره های امنیتی شرکت فراتر رفته است. بیانیه ی فیس بوک به این شرح است: «ما به شدت از جامعه ی پژوهش گران امنیتی آی تی دفاع می کنیم و روابط بسیار خوبی با هزاران نفر از کسانی که در برنامه ی جایزه در برابر گزارش آسیب پذیری ما شرکت کرده اند بر قرار کرده ایم. این تعامل دو طرفه باید صادقانه باشد و شامل گزارش جزئیات این حفره های کشف شده باشد و از آن ها برای دسترسی به اطلاعات خصوصی دیگران به صورت غیرمجاز استفاده نشود. در این مورد پژوهش گر مورد نظر اطلاعات حفره های امنیتی را از تیم ما دریغ کرده است و از چارچوب برنامه ی ما فراتر رفته تا اطلاعات خصوصی و شخصی را از سامانه های ما دریافت کند. ما برای گزارش اولیه او و بر اساس کیفیت این گزارش به او جایزه ای پرداخته ایم حتی با وجودی که او اولین کسی نبود که این گزارش را به ما ارائه کرده است اما برای اطلاعات دیگری که از ما مخفی کرده است به او پولی پرداخت نمی کنیم. ما به هیچ عنوان نگفته ایم که او نمی تواند یافته های خود را منتشر کند- ما خواسته ایم که او از افشای اطلاعات خصوصی که با نقض دستورالعمل های برنامه ی ما به آن ها دسترسی یافته است جلوگیری کند. ما کاملاً متعهد هستیم که برای تحقیقات با کیفیتی که صورت می گیرد پاداش هایی را ارائه کنیم و به جامعه کمک کنیم تا از فعالیت های سخت کوشانه محققان آموزش های لازم را فرا گیرند.» ماجراجویی وین برگ با راهنمایی یکی از همکاران پژوهش گر او در مورد دسترس به یکی از وب کارگزارهای اینستاگرام که نمونه ی آمازون EC۲ استفاده می کند و بر خود ابزار نظارت Sensu را نصب دارد شروع شده است. دسترسی به این وب گاه نیز توسط همین همکار پژوهش گر در چارچوب برنامه ی پاداش در برابر گزارش فیس بوک، به فیس بوک گزارش شده بود. اما وینبرگ ردپاها را دنبال کرد و به یک روبی به شدت رمزگذاری شده رسید که به نظر می رسید کاملاً محرمانه باشد. همان طور که معلوم است با استفاده از آن نه تنها می توان به جعل کوکی پرداخت بلکه وینبرگ می گوید که می توانست از deserialization این کوکی برای اجرای کد استفاده کند. با استفاده از این ابزار او می توانست محتویات یک پایگاه داده ی محلی Postgres را خالی کند تا به حساب های کاربری ۶۰ تن از کارکنان دسترسی پیدا کند که شامل رمزهای عبور رمزنگاری شده بودند. او توانست دوازده رمز عبور را بشکند که همه ی آن ها به گفته ی او بسیار ضعیف بودند. او مشکل سرقت این روبی را در تاریخ ۲۱ اکتبر به وب گاه اینستاگرام بر پایه ی Sensu گزارش داد و یک روز بعد او گزارش داد که توانسته است به حساب های کاربری کارمندان دسترسی پیدا کند. فیس بوک با قرار دادن وب گاه Sensu پشت یک دیواره ی آتش به وینبرگ مبلغ ۲۵۰۰ دلار جایزه پرداخت کرد (در ۱۶ نوامبر). اگر چه وینبرگ در تاریخ ۲۸ اکتبر اشاره کرد که گزارش او در مورد حساب های ضعیف خارج از چهارچوب برنامه ی جایزه در برابر گزارش فیس بوک بدون هیچ توضیح دیگری ارزیابی شده است. اگر چه کار به اینجا ختم نمی شود. او می گوید که به تنظیمات Sensu با دقت نگاه کرده و جفت کلیدهای AWS را یافته که ۸۲ باکت و یا حافظه S۳ آمازون را در برداشته اند. دسترسی به همه ی باکت ها به غیر از یکی از آن ها مقدور نبوده است اما در این باکت او توانسته یک جفت کلید دیگر پیدا کند که به او اجازه داده تا محتویات همه ۸۲ باکت را بخواند. وین برگ نوشته است که او چندین باکت را بارگیری کرده که برخی از آن ها شامل فهرست کلیدهای SSL ، حساب های اعتباری و دیگر کلیدهای امضاء بوده اند. وین برگ چند رایانامه بین خود و فیس بوک را منتشر کرده است که در آن ها فیس بوک می گوید کار او محققان را تشویق می کند تا از آسیب پذیری هایی که یافته اند و دنباله های آن ها به برنامه ی «حفظ حریم خصوصی کاربران» ضربه بزنند. در این بین استاموس Stamos با کاپلن Kaplan در شرکت Synack تماس می گیرد و به او گفته می شود که وین برگ یک کارمند قراردادی است و اجازه دارد که این نوع تحقیقات را در وقت آزاد خود انجام دهد- استاموس می گوید که وین برگ به اطلاعات کارمندان و کاربران شبکه ی اینستاگرام دسترسی پیدا کرده است و می گوید که نمی خواهد تیم حقوقی فیس بوک وارد این قضیه شود و البته او مطمئن نبوده است که چگونه فیس بوک می تواند در این مورد از اقدامات قضایی استفاده کند. وین برگ گفته است که او از شرکت Synack خواسته است که تأیید کند او هیچ کدام از جزییات به دست آورده را عمومی نکرده است و همه ی آنچه را که از اینستاگرام به آن دسترسی داشته و بارگیری کرده است حذف نموده است و تأیید کند که به هیچ کدام از اطلاعات کاربران دسترسی ندارد و موافق است که یافته های خود را به صورت خصوصی مطرح کرده و آن ها را انتشار ندهد. وین برگ نوشته است: «به نظر من بهترین کار در این زمینه این است که کاملاً در مورد یافته ها و عمل کردهای من به صورت شفاف عمل کنیم. من دنبال این نیستم که هیچ شخص یا شرکتی را سرافکنده کنم؛ اما با وجود این عقیده دارم که رفتار من در این وضعیت کاملاً نامناسب بوده است.» من امیدوار هستم که تحقیقات امنیتی به شکل مناسبی دیده شده و مورد حمایت قانونی قرار گیرند. من معتقدم که باید جامعه ی امنیت فضای مجازی هدایت این کار را به عهده بگیرد. من تصور نمی کنم که تهدید محققان امنیت مجازی به هیچ وجه قابل قبول باشد، و من فکر می کنم که ما به عنوان یک جامعه بهتر می توانیم در این مورد رفتار کنیم. من نیاز ندارم که این مطالب را به عنوان هشداری برای سایر محققان بنویسم، هر کدام از آن ها خود از خطراتی که تحقیقات آن ها در بر دارد آگاه هستند. در عوض من امیدوارم که این اظهارات من بتواند نشان دهد که ما به عنوان یک جامعه تا چه میزان نیاز به حرکت داریم.» وینبرگ به وب گاه Threatpost می گوید که او همه ی اطلاعاتی را که از کارگزار S۳ به دست آورده است حذف کرده است و نمی خواسته هیچ کدام از آن ها را در معرض انتشار عموم قرار دهد. او به Threatpost گفته است: «واقعاً چندین نقطه ضعف در مورد کارگزارهای میزبان آمازون وجود دارد. مادامی که تغییر تنظیمات کلیدهای دسترسی آمازون تا به این میزان آسان است، مشخص نیست که آن ها دیگر مشکلات مربوطه را چگونه می خواهند حل کنند. مشکلات اساسی شامل فقدان دسترسی به نظارت صحیح است، به طوری که هنوز مشخص نیست که آن ها قادر باشند تعیین کنند آیا چنین آسیب پذیری هایی توسط مهاجمان دیگر در گذشته مورد استفاده قرار گرفته است یا خیر؟»
پنجشنبه ، ۳دی۱۳۹۴
[مشاهده متن کامل خبر]
این صفحه را در گوگل محبوب کنید
[ارسال شده از: پایداری ملی]
[مشاهده در: www.paydarymelli.ir]
[تعداد بازديد از اين مطلب: 26]
-
گوناگون
پربازدیدترینها