Ένας ειδικός στην κυβερνοασφάλεια ανακάλυψε έναν τρόπο για να χακάρει οποιονδήποτε λογαριασμό στο Facebook εκμεταλλευόμενος τις ευπάθειες στον μηχανισμό της επαναφοράς κωδικού πρόσβασης του δημοφιλούς κοινωνικού δικτύου. Ο Samip Aryal από το Νεπάλ ανακάλυψε ότι με την απεγκατάσταση και την επανεγκατάσταση της εφαρμογής από διαφορετικούς χρήστες μπορούσε να παρεμβαίνει στην διαδικασία επαναφοράς κωδικού πρόσβασης και να αλλάζει τον κωδικό ταυτοποίησης, προκειμένου να αποκτήσει πρόσβαση στον λογαριασμό. Ο Aryal εξήγησε ότι αυτή η αδυναμία στην ασφάλεια που εντόπισε οφείλεται σε έξι παράγοντες: πρώτον, ο κωδικός παρέμενε έγκυρος για δύο ώρες, που είναι αρκετός χρόνος για να τον αποκτήσει κάποιος· δεύτερον, ο ίδιος κωδικός ήταν αποστέλλοντας κάθε φορά με διάστημα δύο ωρών· τρίτον, ο Aryal είχε τη δυνατότητα να δοκιμάσει όσους λανθασμένους κωδικούς σύνδεσης ήθελε, προσφέροντας του πολλές περιθώρια για επιτυχημένη εισβολή.
Χρησιμοποιώντας τον σωστό κωδικό, ο Aryal επανέφερε τον κωδικό πρόσβασης στον λογαριασμό και απέκτησε πλήρη έλεγχο, δίνοντάς του την δυνατότητα να ορίσει έναν νέο, αυστηρότερο κωδικό πρόσβασης. Όταν το Facebook διαπίστωσε το πρόβλημα, ζήτησε περαιτέρω διευκρινίσεις από τον Aryal λίγες μέρες αργότερα. Για να προστατευθούμε από τέτοιου είδους επιθέσεις στην ασφάλεια των προφίλ μας στο Facebook, υπάρχουν μερικές ουσιαστικές πρακτικές που μπορούμε να ακολουθήσουμε.
Η διπλή πιστοποίηση και ο έλεγχος ταυτότητας πολλαπλών παραγόντων είναι μερικά από τα μέτρα που μπορούμε να ενεργοποιήσουμε για να προστατεύσουμε τον λογαριασμό μας. Ακόμα, πρέπει να είμαστε προσεκτικοί με τα μηνύματα επαναφοράς κωδικού πρόσβασης και τα μηνύματα που συνδέονται γενικότερα με τον λογαριασμό μας στο Facebook, προκειμένου να αποφύγουμε την παρέμβαση επιθέτων. Αν υπάρχουν αμφιβολίες, μπορούμε να ξεκινήσουμε μόνοι μας τη διαδικασία επαναφοράς κωδικού πρόσβασης, να ορίσουμε έναν νέο, περίπλοκο κωδικό πρόσβασης και να αποφύγουμε τη χρήση SMS για επιβεβαίωση ταυτότητας πολλαπλών παραγόντων, αντικαθιστώντας την με μια αξιόπιστη εφαρμογή Authenticator.
Πηγή
