Facebook хранит незащищенные токены аутентификации в резервных копиях iPhone

опубликованный обновленный

За последний месяц или около того несколько приложений для iOS оказались в центре внимания в отношении слабых мест безопасности и отслеживания iPhone . Теперь очередь за Facebook, хотя рассматриваемая проблема касается многих других сайтов социальных сетей, таких как LinkedIn, Dropbox, и приложений, которые используют эти сайты для аутентификации пользователей на iOS.

Исследователь безопасности Гарет Райт обнаружил, что приложение Facebook для iOS хранит токены аутентификации в виде простого текстового файла. Эти токены эквивалентны паролю, который вы используете для входа.

Хранение токенов аутентификации в резервной копии не обязательно является плохой идеей. В конце концов, если вам нужно восстановить телефон из резервной копии, приятно видеть, что все вошли в систему, как было, и токен необходим для этого. Вы можете увидеть, как это работает с текущей реализацией Facebook:

  • Войдите в приложение Facebook на вашем iPhone и создайте резервную копию с помощью iTunes.
  • Выйдите из приложения Facebook на вашем iPhone (перейдите в нижнюю часть левого меню и нажмите « Settings → « Log Out
  • Восстановите резервную копию iTunes на свой телефон

Вы увидите, что вы снова вошли в систему. Аккуратно.

Дорога в ад вымощена благими намерениями

Сохраняет ли Facebook свой маркер аутентификации в резервной копии, это не главная проблема. Самая большая проблема здесь в том, что токен не зашифрован , не имеет специфического для устройства элемента и не ограничен во времени . Это означает, что кто-то может извлечь файл из вашей резервной копии и импортировать его на свое устройство. Проще говоря, любой, кто может получить доступ к этому файлу, может иметь полный доступ к вашей учетной записи Facebook и использовать его для кражи вашей личности или отслеживания вашей активности.

В дополнение к этому, многие сторонние приложения и службы используют Facebook в качестве службы аутентификации. Если хакер уже вошел в вашу учетную запись Facebook, он также может получить доступ к этим службам, используя его.

Facebook ответил новостным агентствам следующим комментарием, хотя они, похоже, исключают вероятность небезопасного взлома резервных копий, который мы считаем самым простым методом.

Приложения Facebook для iOS и Android предназначены только для использования с предоставленной производителем операционной системой, а маркеры доступа уязвимы только в том случае, если они изменили свою мобильную ОС (то есть взломали iOS или модифицированный Android) или предоставили злоумышленнику доступ к физическому устройству. Мы разрабатываем и тестируем наше приложение на немодифицированной версии мобильных операционных систем и полагаемся на встроенные средства защиты в качестве основы для разработки, развертывания и обеспечения безопасности, которые все взломаны на взломанном устройстве. Как утверждает Apple, «несанкционированная модификация iOS может позволить хакерам украсть личную информацию ... или внедрить вредоносное ПО или вирусы». Чтобы защитить себя, мы рекомендуем всем пользователям воздерживаться от модификации своей мобильной ОС, чтобы предотвратить любую нестабильность приложения или проблемы безопасности.

Должны ли вы беспокоиться? Чтобы получить этот файл, человек должен иметь физический доступ к вашему устройству iOS или ПК с незашифрованной сохраненной резервной копией. Случайный хакер может не иметь доступа к ним, но решительный может быть в состоянии организовать такой доступ.

Очевидно, что издатели приложений, такие как Facebook, могут помочь себе в следующем:

  • Применение дополнительного шифрования к токенам аутентификации в резервной копии
  • Убедитесь, что токены имеют специфичный для устройства элемент, чтобы их нельзя было использовать на других устройствах.
  • Установите токены, чтобы иметь срок действия в ближайшем будущем
  • Оповещение пользователей о новых входах в службу с восстановленных токенов

Хотите проверить свой собственный токен аутентификации Facebook?

iPhone Backup Extractor reading the Facebook auth token
iPhone Backup Extractor читает токен авторизации Facebook

Вы можете сделать это с помощью iPhone Backup Extractor и получить доступ к вашей резервной копии в «Экспертном режиме». Вы не сможете прочитать данные или использовать их для входа в Facebook, если не знаете, что делаете, - и мы отказались опубликовать, как это сделать по соображениям безопасности, - но это не займет много времени. понять это.

Об авторе

Энди Коулз создавал и документировал iPhone Backup Extractor с момента его первого выпуска. Он сделал ряд открытий в области восстановления данных, в частности, методов передачи данных между резервными копиями iPhone.

Генеральный директор Reincubate в Букингемском дворце

На снимке выше - встреча членов команды Reincubate Ее Величества Королевы Елизаветы Ⅱ в Букингемском дворце, после того как она была удостоена высшей бизнес-награды Великобритании за нашу работу с технологиями Apple. Прочитайте нашу позицию о конфиденциальности, безопасности и сохранности .

Можем ли мы улучшить эту статью?

Нам нравится слышать от пользователей: почему бы не написать нам электронное письмо, оставить комментарий или написать в Твиттере @reincubate?

© 2008 - 2019 Reincubate Ltd. Все права защищены. Зарегистрировано в Англии и Уэльсе #5189175, VAT GB151788978. Reincubate® является зарегистрированным товарным знаком. Защита & Условия. Мы рекомендуем 2FA. Построен с в Лондоне.