Vulnerabilitate Facebook dezvaluita de un expert IT roman: Oricine poate afla cui apartine un numar de telefon asociat unui cont

de Adrian Vasilache     HotNews.ro
Luni, 20 octombrie 2014, 22:18 Economie | Telecom

Vulnerabilitate Facebook in setarile de confidentialitate
Foto: Hotnews
Oricine si-a asociat un numar de telefon contului  de Facebook se expune riscului ca aceste date sa fie cunoscute de oricine pe internet, chiar si de cei care nu au cont in reteaua de socializare, din cauza unei vulnerabilitati in procedura Facebook de recuperare a parolei, avertizeaza expertul IT Bogdan Alecu pe blogul Asociatiei pentru Tehnologie si Internet (APTI). Mai mult, daca vrei sa fii discret pe Facebook, ti-ai facut un cont care nu este identic cu numele tau si ti-ai asociat contului un numar de mobil, toti cei care iti stiu acest numar pot sa afle ce cont ai tu pe Facebook in baza numarului de telefon furnizat.
  • Nota: Numarul  conturilor atribuite utilizatorilor romani de Facebook a ajuns la 7.2 milioane in 2014, potrivit Facebrands.ro

Unde este problema? - Setarile telefonului asociat de contul de Facebook

Atunci cand adaugati numarul de telefon mobil pentru contul de Facebook, o prima setare se refera la cine vede acest numar.

Setarea de maxima confidentialitate este 'only me'. Aceasta inseamna ca numai tu ar trebui sa vezi acel numar.




Totusi, intr-o alta locatie, puteti seta cine va poate gasi dupa acest numar de telefon, desi ati specificat ca doar voi puteti vedea acel numar", scrie expertul IT Bogdan Alecu pe blogul http://privacy.apti.ro/.

Aici setarea de maxima confidentialitate este 'friends/(prieteni)'.


  • "Din pacate cea mai putin permisiva setare este ca doar prietenii sa va poata cauta. Asadar, odata adaugat numarul, cel putin toti prietenii din lista va pot cauta folosind numarul de telefon pe care doar voi il puteti vedea. Dupa parerea mea aceasta limitare e cam inutila. E ca si cum doar voi va stiti CNP-ul insa orice alt prieten are o modalitate de a introduce CNP-uri si de a vedea cine e acea persoana", spune acesta.

In baza acestor setari, numai prietenii care iti stiu numarul de mobil te-ar putea cauta pe Facebook pentru a vedea daca esti prezent in reteaua de socializare.

Vulnerabilitatea pe care expertul roman sustine ca a descoperit-o apare insa in cazul cautarilor facute de cei care nu au un cont sau nu sunt logati in retea.


  • "Ce am folosit eu nu necesita a avea un cont pe Facebook si oricine poate efectua o astfel de cautare. Lucrurile sunt destul de simple: odata accesata pagina Facebook.com ai optiunea de a-ti recupera parola in caz ca ai uitat-o. La campul de cautare al contului ai mai multe posibilitati: adresa de e-mail, numarul de telefon, numele de utilizator sau numele tau complet.
  • Dupa cum probabil ati ghicit, in momentul in care introduci un numar de telefon, rezultatul va fi contul asociat acestui numar.
  • Pe langa numele si poza persoanei apare intr-o forma mascata si adresa de email asociata contului, dupa cum puteti vedea in imagine", explica Bogdan Alecu.





Bogdan Alecu a precizat pentru HotNews.ro ca a semnalat acest lucru catre Facebook in data de 13 octombrie, iar raspunsul primit in 14 octombrie de la Facebook (vezi poza de mai jos) nu raspunde problemei.


  • "Din pacate raspunsul celor de la Facebook nu se refera la functia de recuperare a contului, ci la cautarea clasica atunci cand esti autentificat deja. Astfel ei afirma ca pot limita cine ma cauta dupa numarul de telefon din setarile de confidentialitate ale contului personal, mai exact din zona de securitate, optiunea "Cine ma poate cauta folosind numarul de telefon mobil asociat contului". Din pacate cea mai restrictiva optiune este doar ceea de a te cauta doar prietenii si oricum aceasta setare nu se aplica si in cazul procesului de recuperare a parolei", a precizat pentru HotNews.ro Bogdan Alecu.

In lipsa unui raspuns multumitor din partea Facebook, expertul roman a vrut sa vada pana unde merge vulnerabilitatea.



  • "Si, daca tot nu este o problema, am vrut sa vad pana unde poate merge aceasta functie. Oare pot gasi persoane publice, persoane cu o oarecare importanta? Am pornit de la ideea ca astfel de persoane au de obicei numere preferentiale si usor de retinut. Cum poti ghici numarul de telefon asociat unui cont?
  • Astfel am scris un scurt program ce imi genera astfel de numere, dupa care cu un alt program am incarcat aceste numere si le-am trimis catre site-ul Facebook pentru a-mi returna numele persoanei si eventual poza sau adresa de email.
  • Cateva rezultate interesante descoperite in urma cautarii de numare aleatoare de telefon (nu am cautat dupa numere de telefon gasite pe Internet) inclusiv un fost director de ziar romanesc sau un europarlamentar din Romania (n.a Daciana Sarbu)", sustine Bogdan Alecu pe blogul privacy.apti.ro.

O problema similara la asocierea unui numar de mobil contului de Facebook a fost semnata in urma cu 2 ani

Problema nu este noua. Bogdan Alecu subliniaza in postarea facuta pe blog ca in urma cu 2 ani un cercetator pe securitate informatica (n.a Suriya Prakash ) reusise sa extraga mii de numere de telefon cu ajutorul Facebook folosindu-se de faptul ca setarea implicita la adagarea numarului propriu de telefon era ca oricine sa poata cauta dupa acest numar. Intre timp, cei de la Facebook au afirmat ca problema a fost rezolvata prin limitarea numarului de cautari si prin oferirea posibiliatii de a schimba cine poate face o astfel de cautare.

Expertul roman avertizeaza insa ca Facebook este departe de a fi rezolvat aceasta problema.

  • "Vulnerabilitatea raportata de catre Suriya Prakash facea referire la functia de cautare implicita disponibila atunci cand esti autentificat pe site-ul Facebook. La acea vreme, atunci cand iti asociai numarul de telefon cu contul tau, setarea implicita era ca oricine sa te poata cauta dupa acest numar, folosind functia de cautare oferita de Facebook. 
  • Ceea ce am semnalat eu celor de la Facebook se refera la o vulnerabilitate in procedura de recuperare a parolei. Astfel, atunci cand ti-ai uitat parola, Facebook trebuie sa te identifice astfel incat sa iti poti schimba parola. Procedura de identificare se face folosind una din urmatoarele: adresa de email asociata contului, numarul de telefon mobil, contul de utilizator sau numele intreg. In momentul introducerii numarului de telefon mobil in acest pas de recuperare a parolei, Facebook returneaza numele persoanei, imaginea profilului si adresa de email intr-o forma incompleta", a explicat pentru HotNews.ro Bogdan Alecu.

La ce foloseste asocierea numarului de mobil la contul de Facebook

  • "Odata activata aceasta functie, atunci cand te autentifici in Facebook vei primi un cod unic prin SMS pe numarul profilului si ai optiunea de a salva acest dispozitiv ca unul sigur, de pe care te autentifici in mod frecvent. Daca spre exemplu altcineva iti stie numele de utilizator si parola, in momentul in care va incerca sa se conecteze cu aceste date la Facebook,evident de pe un alt dispozitiv (laptop, telefon, tableta etc.) va trebui sa introduca si acel cod de singuranta pe care tu il primesti ca SMS. In caz contrar nu se va putea conecta pe contul tau iar tu vei sti imediat ca cineva a incercat sa se conecteze folosind datele tale", a precizat pentru HotNews.ro Bogdan Alecu.

Concluziile expertului roman:

Prin exemplele aratate (si testate) mai sus, contul vostru ar putea fi in pericol daca aveti numarul de telefon asociat contului de Facebook, prin urmatoarele actiuni:
  • folosirea unui telefon furat (sau la care ai acces pentru a primi un SMS) pentru a avea acces la contul de Facebook asociat acelui numar de telefon
  • ghicirea sau confirmarea numarului de telefon al unei persoane care are cont de facebook (interesant in special pentru a confima persoane publice)
  • aflarea adresei personale de email in cazul persoanelor publice in anumite cazuri (chiar daca adresa de email nu este oferita complet, de multe ori este usor de dedus)
  • aflarea contului de Facebook al unei persoane unde ai numarul de telefon - in special daca contul de Facebook nu este identic cu numele persoanei cautate

Daca vreti sa mai limitati din ceea ce stie Facebook despre voi, dar si pentru a va proteja mai mult identitatea, stergeti-va din profilul de Facebook numarul de telefon asociat contului, pe langa lucrurile mentionate deja pe acest blog. Faptul ca Facebook nu ofera cu adevarat setari puternice de confidentialitate si au ignorat de cel putin doua ori raportarile facute este un lucru destul de neplacut si ingrijorator.


Citeste mai multe despre   











[P] Ultimele zile de inscrieri la conferinta RIUF YouForum

Conferinta YouForum are loc la Bucuresti, la Sala Palatului, in perioada 1-2 octombrie si propune elevilor si studentilor sesiuni de discutii, ateliere, seminarii si prezentari ale universitatilor din Romania si din strainatate care au drept scop informarea si orientarea tinerilor cu privire la viitoarele alegeri educationale.
15245 vizualizari
  • +4 (4 voturi)    
    scos numarul (Luni, 20 octombrie 2014, 23:48)

    andimi [utilizator]

    Intr-adevar e o vulnerabilitate. Eu unul deja am eliminat nr. de mobil de pe fb!
    • +11 (11 voturi)    
      .. mai rau (Marţi, 21 octombrie 2014, 7:17)

      farty [utilizator] i-a raspuns lui andimi

      Eu mi-am sters contul cu totul :)
      • +5 (5 voturi)    
        dap, de departe cea mai buna metoda de protectie (Marţi, 21 octombrie 2014, 8:32)

        artistul000 [utilizator] i-a raspuns lui farty

        .
      • 0 (0 voturi)    
        he he (Duminică, 26 octombrie 2014, 18:31)

        N-joy [utilizator] i-a raspuns lui farty

        nu cred ca se poate sterge contul de tot.... doar il dezactivezi :-D
        ia incearca sa intri, sa vezi ca e totul acolo ca si cum niciodata nu l-ai fi dezactivat. Am incercat, asa ca stiu ce spun.
        cel mai bine e, daca ai cont de facebook, sa nu dai niciodata adresa,numarul de telefon sau alte informatii pe care nu vrei sa le afle toata lumea.
  • +1 (3 voturi)    
    la fel e si cu adresa de mail (Marţi, 21 octombrie 2014, 0:14)

    robotel corporatel [utilizator]

    stiam de mult
    daca scrii la cautare prieteni o adresa de mail sau un numar de telefon apare contul asociat
    • 0 (0 voturi)    
      Nu chiar (Marţi, 21 octombrie 2014, 11:52)

      radion [utilizator] i-a raspuns lui robotel corporatel

      Diferenta e ca in cazul asta nu ai nevoie de cont pe Facebook si deci nu e folosita functia de cautare prieteni
      • 0 (0 voturi)    
        este exact la fel (Marţi, 21 octombrie 2014, 12:15)

        robotel corporatel [utilizator] i-a raspuns lui radion

        da pe google o adresa de mail sa vezi
        la fel cand dai si nr de tel
      • 0 (0 voturi)    
        chiar daca ar fi asa (Marţi, 21 octombrie 2014, 12:17)

        robotel corporatel [utilizator] i-a raspuns lui radion

        ce te opreste sa faci un cont cu date false sa cauti adresele de mail?
  • +4 (4 voturi)    
    ... (Marţi, 21 octombrie 2014, 9:57)

    a.nonim [utilizator]

    In realitate exista o singura problema cu Facebook. Faptul ca exista...
  • 0 (6 voturi)    
    A descoperit gaura din covrig (Marţi, 21 octombrie 2014, 11:07)

    Miky60 [utilizator]

    Sau miezul din Fanta? Oricine are un cont de facebook stie asta.. probabil este un fel de ponta si a copiat fara sa spuna de la cine stia.


Abonare la comentarii cu RSS



ESRI

Top 5 articole cele mai ...



Hotnews
Agenţii de ştiri

Siteul Hotnews.ro foloseste cookie-uri. Cookie-urile ne ajută să imbunatatim serviciile noastre. Mai multe detalii, aici.
hosted by
powered by
developed by
mobile version
Miercuri