szerző:
hvg.hu

A Facebookon egyre gyakrabban bukkannak fel ugyanazt a trükköt használó alkalmazások, amelyek a böngészők same origin policy-jébe (SOP), és a Facebook fejlesztői interfészébe épített védelmeket nem feltörik, hanem egyszerűen megkerülik - méghozzá a felhasználó segítségével. Ezúttal a like funkcióval éltek vissza - 24 órán belül kétszer is.

SOP
 Az SOP azt biztosítja, hogy egymás mellett futó, de különböző helyről származó (értsd: betöltött) alkalmazások (web oldalak) nem látják egymás bizalmas adatait (Cookie-k, változók), míg a Facebook api-ja (programozói felület) a Facebookon tárolt adatokhoz és szolgáltatásokhoz csak ellenőrzött és feljogosított kéréseket engedélyeznek.
A támadó alkalmazás a Facebookon különböző változatokban terjed: két kép között a különbségeket vagy egy nehéznek tűnő kérdésre a választ kell megtalálni, vagy mint a legutóbbi esetben, egy plusz szolgáltatás ígéretével (láthatod, ki nézte meg a profilodat) csapja be a felhasználót. Ami ezekben az alkalmazásokban közös, hogy a helyes válasz megjelenítéséhez vagy kért funkció eléréséhez a felhasználó segítségét kéri: először a Ctrl-C-t kell leütni, majd az Alt-D, végül a Ctrl-V-t és ENTER-t.

Az ártatlan segítségnyújtással viszont éppen a beépített védelmeket kerüljük meg, amin a program magától nem tudna átjutni. Ugyanis a Ctrl-C leütésével egy előre kijelölt és kódolt javascript programot helyezünk a vágólapra, az Alt-D leütésével kiválasztjuk a navigációs sort, majd a Ctrl-V és ENTER párossal beillesztjük és lefuttatjuk a javascript programot.

Ami számunkra csak pár kattintásra és billentyűleütés távolságra van, az a böngészők fenti biztonsági védelmei miatt áthatolhatatlan messzeségbe kerülnek, ugyanis a Facebookon az alkalmazás egy beágyazott korlátozott futtatókörnyezetben működik, ahonnan a Facebookot csak ellenőrzött és korlátozott programhívásokon keresztül tudja elérni. A javascript program böngészősorba való másolásával ezeket a védelmeket kerüli ki a felhasználó.

A javascript kód visszafejtésével kiderült működési mechanizmusa is: a bejelentkezett Facebookos felhasználó NEVÉBEN annak kattintásait programból emulálva úgy tesz, mintha a felhasználó használná a Facebook felületét. A vizsgált program ebben az esetben ártalmatlannak tűnő dologra veszi rá a felhasználót: egy adott oldalt megjelölt kedvencként és ismerőseinknek is ajánlja azt. Ugyanakkor fontos megjegyezni, hogy ugyanezzel a technikával egyéb kártékony feladatot is el lehet végeztetni a felhasználó nevében és ezek az alkalmazások már valahol készülnek... Tekintsük úgy az elmúlt napok eseményeit, mint egy nagyobb terv tesztelését...

„Ennek a végül is ártalmatlan történetnek is van néhány fontos tanulsága.” – vonta le a következtetést Bártfai Attila a kancellar.hu üzletfejlesztési igazgatója. Először is, aki még nem tudná, a böngésző címsorában is lehet programot futtatni, ami az adott oldalon elérhető minden védett tartalmat elér, ezért onnan javascriptet futtatni csak akkor szabad, ha tudjuk, mit csinálunk. Minden olyan szöveget óvatosan kezeljünk, ami „javascript:” karakter sorozattal kezdődik. Ökölszabályként inkább ne is írjunk be ilyen kezdetű szövegeket a címsorba.

Állj mellénk!

Tegyünk közösen azért, hogy a propaganda mellett továbbra is megjelenjenek a tények!

Ha neked is fontos a minőségi újságírás, kérjük, hogy támogasd a munkánkat.

Állj mellénk!

Tegyünk közösen azért, hogy a propaganda mellett továbbra is megjelenjenek a tények!

Ha neked is fontos a minőségi újságírás, kérjük, hogy támogasd a munkánkat.
MTI Tech

Privát csetelések kerültek nyilvánosságra a Facebookon

A csevegőszolgáltatás átmeneti leállítására kényszerültek a Facebook közösségi portál üzemeltetői szerdán, mert egy programozási hiba miatt illetéktelenek is betekinthettek a felhasználók személyes csevegéseibe.

MTI Tech

15 év börtön egy Facebook-bejegyzésért?

A thaiföldi hatóságok őrizetbe vették a kormányellenes tüntetők egyik szimpatizánsát, mert a gyanú szerint a Facebookon megsértette a monarchiát. Ha bűnösnek találják, akár 15 évi börtönbüntetésre ítélhetik.

Nagy Gábor: Miénk ez a cirkusz

Nagy Gábor: Miénk ez a cirkusz

A Fidelitas titkolja, miből fizeti a cirkuszos kampányt

A Fidelitas titkolja, miből fizeti a cirkuszos kampányt

Százmilliókkal drágult a városligeti Olof Palme-ház felújítása

Százmilliókkal drágult a városligeti Olof Palme-ház felújítása

„A tegnap estére sem emlékszem, nemhogy a 80-as évekre” – Elefánt-lemezpremier

„A tegnap estére sem emlékszem, nemhogy a 80-as évekre” – Elefánt-lemezpremier

Simonka György: Joggal remélem, hogy felmentenek a vádak alól

Simonka György: Joggal remélem, hogy felmentenek a vádak alól

A sztrájktól sem riadnának vissza a tiszavasvári Alkaloidánál

A sztrájktól sem riadnának vissza a tiszavasvári Alkaloidánál