ë¤ê°íëë ìì¦ ë¬´ì íê²½ì '3ë í¸ë ë'
차례:
이 취약점으로 인해 잠재적 인 공격자가 OAuth 액세스 토큰으로 알려진 중요한 정보를 훔칠 수있었습니다. Facebook은 OAuth 프로토콜을 사용하여 사용자가 승인 한 후 타사 응용 프로그램에 사용자 계정에 대한 액세스 권한을 부여합니다.
[추가 정보: Windows PC에서 악성 코드 제거 방법]
Goldshlager는 부적절한 행동으로 인해 발생하는 모바일 및 터치 지원 장치에 대한 Facebook 웹 사이트의 취약점을 발견했습니다. URL 경로의 삭제. 이로 인해 사용자는 자신의 프로필에 설치된 애플리케이션의 액세스 토큰을 도용하는 데 사용할 수있는 URL을 만들 수있었습니다.
Facebook의 대부분의 애플리케이션은 사용자가 수동으로 승인해야하는 타사 앱이지만, 사전 승인 된 내장 응용 프로그램은 거의 없습니다. 그러한 응용 프로그램 중 하나는 Facebook Messenger입니다. 사용자가 비밀번호를 변경하지 않고 계정 데이터에 액세스 할 수있는 권한이있는 경우를 제외하고는 액세스 토큰이 만료되지 않습니다.Facebook 메신저는 메시지, 알림, 사진, 이메일, 비디오 등을 읽고, 보내고, 업로드하고 관리 할 수 있습니다. m.facebook.com과 touch.facebook.com에서 발견 된 URL 조작 취약성은 페이스 북의 메신저에 대한 사용자의 액세스 토큰을 훔치기 위해 악용되어 침입자가 계정에 전체 액세스 권한을 부여했을 수 있다고 Goldshlager는 말했습니다.
핑거 드 버그 헌터 (bug-hunter)
공격 URL은 많은 URL 단축키 서비스 중 하나와 단축되어 사용자에게 보내어 다른 것으로 연결되는 것으로 가장 할 수 있습니다. 이 공격은 페이스 북의 2 단계 인증이 활성화 된 계정에도 적용될 것이라고 Goldshlager는 말했다.
액세스 토큰과 Facebook 사용자 ID를 사용하여 공격자는 Graph API Explorer를 사용하여 사용자 계정에서 정보를 추출 할 수있다. Goldshlager는 이메일을 통해 금요일에 말했다.
Goldshlager에 따르면 Facebook 보안 팀은이 취약점을 수정했다. 그는 "페이스 북은 전문 보안 팀을 보유하고 있으며 문제를 매우 빠르게 해결하고있다"며 "페이스 북 담당자가이 문제를주의 깊게보고하고 책임있게 버그를 화이트 햇 프로그램에보고 한 보안 연구원에게 박수를 보낸다"고 말했다. 이메일을 통해 금요일 말했다. "우리는 팀과 협력하여 취약점의 전체 범위를 이해하고 있으며,이 버그가 야생에서 악용되었다는 어떠한 증거도없이 해결할 수있었습니다. Facebook에이 문제를 책임있게보고했기 때문에 사용자에게이 버그의 영향을받은 증거는 없습니다. 연구원은 페이스 북 보안에 대한 공헌에 대해 감사를 표하는 바입니다. "
연구원은 페이스 북에 영향을 미치는 다른 OAuth 관련 취약점도 발견했다고 주장하지만, 페이스 북에 대한 정보는 밝히지 않았다.
Facebook은 버그에 대한 보상 프로그램을 운영하여 사이트에 영향을주는 취약성을 발견하고 책임감있게보고하는 보안 연구원에게 금전적 보상을 제공합니다.
Goldshlager는 Twitter에서 아직 Facebook 이 취약점을보고 한 바 있으나 그의 보고서에는 여러 취약점이 포함되어 있으며 모두 해결 된 후에 보상을받을 것이라고 언급했습니다.
페이스 북은 보안 연구원에게 버그를 찾고보고하는 데 매우 유리하다고 Goldshlager는 이메일을 통해 말했다. "얼마만큼 말할 수는 없지만, 내가 아는 다른 버그 현상금 프로그램보다 많은 돈을 지불한다."
태평양 표준시로 오전 11:55에 업데이트되어 페이스 북의 의견이 포함된다.
불법 감시를 주장하는 일부 소송에서 운송인이 면제를받을 수 있도록 허용하는 미국 법률은 위헌이다. 미국 샌프란시스코 연방 지방 법원에 제출 된 한 전자 민간 재단 (Electronic Frontier Foundation)은 "통신 회사가 불법적 인 정부 감시를 이유로 소송에서 면책권을 부여받을 수 있도록 허용하는 미국의 법은 위헌이다" 미국 시민 자유 연맹 (FAA)의 현지 계열사들은 FISA 수정안 (FAA) 개정안이 미국 정부의 권력 분열을 대통령, 국회의원 및 법원에 위배한다고 주장했다. FAA는 국가 보안에 대한 특정 종류의 감시를 승인하기 위해 비밀 법원에 제공하는 외부 정보 감시 법 (Foreign Intelligence Surveillance Act)의 연장입니다. 부시 행정부가 AT & T의 도움을 받아 불법적이고 영장없는 도청 프로그램을 진행하고 있다고 주장하면서 EFF는 2006 년 AT & T를 상대로 소송을 제기했다. 이 소송은 EFF가 프라이
Michael Mukasey 법무 장관은 지난달 공개 및 비밀 인증서를 모두 제출했으며 부시 행정부는 Walker 판사에게 소송을 기각하도록 요청했다. EFF와 ACLU 계열사는 소송에서 다른 당사자들과 함께 목요일에 사건을 살아있게하기 위해 간략히 제출했다. 12 월 2 일 청문회 후 Bankston은 Walker 판사가 소송을 기각 할 것인지를 적시에 결정할 것으로 기대합니다. Bankston은 법무 장관에게이 인증을 발급 할 권한을 부여함으로써 그를 판사와 배심원으로 바꿀 수 있다고 Bankston은 덧붙였다. 불법 감시에 대한 혐의로 AT & T가 소송을 제기 할 수 있는지 여부를 결정하는 것은 의회 나 행정부가 아닌 법원의 임무라고 그는 덧붙였다. "면책 특권을 주장하는 법무 장관 앤 브릭 (Ann Brick) EFF 직원은 준비된 성명서를 통해 밝혔다.
Review : Experian의 ProtectMyID가 신원 도용을 차단합니다.
신용 보고서 발급을 위해 가장 잘 알려진 Experian이이 서비스로 도난을 식별합니다. 시간과 돈을 투자해야합니다 (월 16 달러).
내 DNS 웹 사이트를 통해 온라인으로 DNS 도용을 확인할 수 있습니다.
