Пробел в безопасности Instagram позволяет злоумышленникам удалять фотографии и захватывать аккаунты

Instagram, возможно, стал самым популярным и наиболее часто используемым приложением для обмена фотографиями для платформ iOS и Android, но, как и любое другое приложение, оно не идеально. Фактически, недавно была обнаружена новая лазейка. По мнению экспертов, новый недостаток безопасности Instagram может позволить злоумышленникам удалить фотографии или даже захватить учетные записи. Эта лазейка была обнаружена в Instagram версии 3.1.2, работающей на устройстве iOS.

Instagram API использует соединения HTTP и HTTPS для отправки запросов и данных. Конфиденциальная информация, такая как данные редактирования профиля и учетные данные для входа, часто отправляется через HTTPS, поскольку это защищенный канал. Но недавно ребята из reventlov.com обнаружили, что некоторые данные на самом деле отправляются по другому каналу, что делает уязвимыми для использования некоторыми злоумышленниками, которые могли знать лазейку.

Если данные отправляются по каналу HTTP, единственной требуемой формой аутентификации является стандартный файл cookie, который часто отправляется без шифрования каждый раз, когда пользователь запускает приложение Instagram. Злоумышленники, которые могут находиться в той же сети, что и iPhone или iPad, могут перехватывать данные с помощью простой атаки с использованием подмены и могут использовать эту информацию по своему вкусу. Если это произойдет, и злоумышленники смогут пройти проверку подлинности с использованием перехваченной информации, у них уже есть окончательный доступ к учетной записи, и они могут в любое время изменить учетные данные для входа или удалить фотографии.

Люди, обнаружившие этот недостаток, обнародовали его 10 ноября, и через день связались с Instagram, но все, что они получили, это автоматический ответ. До сих пор эта проблема все еще существует, поэтому владельцы устройств iOS, которые могут чаще использовать Instagram, должны чаще использовать канал HTTPS или никогда не использовать какую-либо открытую точку доступа WiFi.

Эта проблема может касаться только Instagram, но чаще всего злоумышленники точно знают, что найти, чтобы иметь возможность получить доступ к другим учетным записям, включая Facebook, Twitter и даже электронную почту. Меры предосторожности должны быть приняты особенно людьми, которые могут хранить некоторые конфиденциальные данные на своих устройствах.

[источник: Ревентлов]