ÉMISSION SPÉCIALE CHIFFRAGE DU PROGRAMME - #JLMChiffrage
Table des matières:
L'attaque est possible parce que Facebook ne limite pas le nombre de recherches de numéros de téléphone qui peuvent être effectuées par un utilisateur via la version mobile de son site Web, Suriya Prakash, un chercheur en sécurité indépendant a déclaré dans un blog récent.
Facebook permet aux utilisateurs d'associer leurs numéros de téléphone avec leurs comptes. En fait, un numéro de téléphone mobile est nécessaire pour vérifier tout nouveau compte Facebook et déverrouiller des fonctionnalités telles que le téléchargement de vidéos ou la personnalisation d'URL de calendrier
[Plus d'informations: Comment supprimer des logiciels malveillants sur votre PC Windows]
la section "Contact" de leurs pages de profil Facebook respectives, les utilisateurs peuvent choisir s'ils veulent rendre cette information visible au grand public, seulement à leurs amis ou s'ils veulent la garder pour eux, ce qui est une bonne option de confidentialité.Facebook permet également aux utilisateurs de trouver d'autres personnes sur le site en recherchant les numéros de téléphone de ces personnes au format international.
Les utilisateurs peuvent contrôler qui peut les localiser grâce à cette option via "Paramètres de confidentialité"> "Comment Connectez-vous ">" Qui peut vous rechercher en utilisant l'adresse e-mail ou le numéro de téléphone que vous avez fourni? " Ce paramètre est défini par défaut sur "Tout le monde".
Cela signifie que même si vous définissez la visibilité de votre numéro de téléphone sur "Moi uniquement" sur votre page de profil, toute personne connaissant votre numéro de téléphone pourra vous trouver sur Facebook sauf vous changez le deuxième paramètre pour "amis" ou "amis d'amis".
Comme la plupart des gens ne modifient pas la valeur par défaut de ce paramètre, il est possible pour un attaquant de générer une liste de numéros de téléphone séquentiels dans un pays choisi. gamme - par exemple d'un opérateur spécifique - et utiliser la boîte de recherche de Facebook pour découvrir à qui ils appartiennent, a déclaré Prakash. Il dit que connecter un numéro de téléphone aléatoire à un nom est le rêve de tous les annonceurs et que ce genre de liste coûterait cher au marché noir, dit-il.
Prakash affirme avoir partagé ce scénario avec l'équipe de sécurité de Facebook en août. réponse initiale le 31 août tous ses courriels sont restés sans réponse jusqu'au 2 octobre, quand un représentant de Facebook a répondu et a dit que le taux auquel les utilisateurs peuvent être trouvés sur le site Web par tous les moyens, y compris les numéros de téléphone, est restreint. Cependant, la version mobile du site Web de Facebook, m.facebook.com, ne semble pas avoir de limitation du taux de recherche, a dit Prakash.
Le chercheur a généré des chiffres avec des préfixes de pays américains et indiens et a créé une preuve simple de script de macro de concept (PoC) qui les a recherchés sur Facebook et enregistré ceux qui ont été trouvés à être associés à des profils Facebook, avec les noms de leurs propriétaires.
Prakash a déclaré qu'il a décidé de divulguer publiquement la vulnérabilité quelques jours à l'arrière er envoyant son script PoC à Facebook, car la société n'a pas répondu. Prakash a même publié 850 numéros de téléphone partiellement obscurcis et noms associés qui, selon lui, représentaient une très petite partie des données qu'il avait obtenues lors de ses tests.
"Cela fait environ une semaine que je l'ai commencé et je n'ai toujours pas été bloqués ", a déclaré Prakash lundi par e-mail. "Je leur ai même informé [Facebook] aujourd'hui matin (heure indienne) toujours pas de réponse."
Facebook n'a pas retourné une demande de commentaire envoyée lundi
Un autre chercheur teste
Suite à la divulgation publique de Prakash, Tyler Borland, Un chercheur en sécurité avec le fournisseur de sécurité réseau Alert Logic, a créé un script encore plus efficace qui peut exécuter jusqu'à dix processus de recherche de téléphone Facebook en même temps. Le script de Borland est appelé "Facebook phone crawler" et peut rechercher des numéros de téléphone à partir d'une plage spécifiée par l'utilisateur.
"Avec les paramètres par défaut, j'ai été en mesure de vérifier les données pour 1 numéro de téléphone chaque seconde", a déclaré Borland par courriel lundi. "Ils [Facebook] n'emploient aucun type de limitation de débit ou je n'ai pas encore atteint cette limite.J'ai envoyé des centaines de demandes dans de courts intervalles de temps et rien ne s'est passé."
Avec le script de Borland sur un grand botnet-plus de 100 000 ordinateurs-un attaquant pourrait trouver les numéros de téléphone et les noms de la plupart des utilisateurs de Facebook avec des numéros de téléphone mobile associés à leurs comptes en quelques jours, . Bogdan Botezatu, un analyste senior des menaces électroniques chez le fournisseur d'antivirus Bitdefender, par e-mail lundi.
Voici un autre exemple de la manière dont une grande fonctionnalité peut être utilisée abusivement si les mécanismes de sécurité sont mal implémentés ou complètement manquants, a déclaré Botezatu. "Contrairement aux messages e-mail ou aux commentaires de blog, aborder un utilisateur par téléphone est beaucoup plus efficace dans une attaque de phishing, principalement parce que l'utilisateur de l'ordinateur ne sait pas que son numéro de téléphone a fini dans la En combinant les informations des utilisateurs dans leur profil, un attaquant peut convaincre l'utilisateur de lui transmettre des informations personnelles en un rien de temps. "
Les attaques par phishing et autres escroqueries téléphoniques sont courantes et leur taux de réussite est déjà élevé. dit.
"Imaginez maintenant que ces escrocs vous adressent par votre nom complet et sauvegardent leurs déclarations avec des informations à votre sujet tirées directement de votre profil [Facebook]." Botezatu a dit.
Les puces RFID pour passeports électroniques peuvent être clonées et modifiées sans être détectées, ce qui représente un béant Selon les chercheurs en sécurité, les données sur les puces radioélectriques contenues dans les passeports électroniques peuvent être clonées et modifiées sans être détectées, ce qui représente un trou de sécurité béant dans les systèmes de contrôle des frontières de la prochaine génération.
Vers le haut de 50 pays déploient des passeports avec des puces RFID (identification par radiofréquence) intégrées contenant des données biométriques et personnelles. Cette mesure vise à réduire le nombre de passeports frauduleux et à renforcer les contrôles frontaliers, mais les experts en sécurité affirment que ces systèmes présentent plusieurs faiblesses.
Les chercheurs du MIT disent que les traits plus denses peuvent être gravés sur des puces Les chercheurs du Massachusetts Institute of Technology disent avoir fait une percée avec la technologie de la lumière qui pourrait éventuellement aider les fabricants de puces à créer des circuits plus fins.
Les chercheurs ont trouvé un moyen de focaliser un faisceau de lumière Rajesh Menon, ingénieur de recherche au département de génie électrique et d'informatique du MIT, a déclaré que les fabricants de puces dépendent de la lumière pour tracer des schémas de circuits sur les puces, mais la plupart des les techniques utilisées aujourd'hui ne peuvent pas produire de motifs plus petits que la longueur d'onde de la lumière elle-même.
U.S. Après avoir démarré au milieu des ruines fumantes d'AT & T et de T-Mobile USA, l'année 2012 a été une grande année pour les opérateurs de téléphonie mobile aux États-Unis, et peut-être un changement définitif Après avoir débuté au milieu des ruines fumantes de la fusion ratée d'AT & T et de T-Mobile USA, l'année 2012 a été une grande année pour les opérateurs de téléphonie mobile aux États-Unis, et peut-être un changement définitif de la garde depuis longtemps.
Si tout le remaniement que les opérateurs ont accepté en 2012 devient une réalité, 2013 verra l'absorption d'un transporteur de deuxième rang concurrentiel, le troisième transporteur du pays en difficulté sauvé par un prétendant étranger, le plus grand opérateur WiMax du monde englouti et un Une marque vénérable bannie des livres d'histoire.