Car-tech

Mananaliksik: Kabiguan ng Twitter ay nagbigay ng mga third-party na apps na hindi awtorisadong pag-access sa mga pribadong mensahe

How to Revoke Third Party App Access in Twitter - Disable Social Media Apps Your Not Using

How to Revoke Third Party App Access in Twitter - Disable Social Media Apps Your Not Using
Anonim

Mga gumagamit na naka-sign sa third party Ang Web o mobile na mga aplikasyon gamit ang kanilang mga account sa Twitter ay maaaring nagbigay ng mga application na iyon sa pag-access sa kanilang pribadong "direktang" mensahe ng Twitter nang hindi nalalaman ito, ayon kay Cesar Cerrudo, ang punong opisyal ng teknolohiya ng security consultant firm na IOActive.

Ang isyu ay resulta ng isang lamat sa Twitter API (application programming interface) na humantong sa mga gumagamit na hindi maayos na alam tungkol sa kung ano ang mga pahintulot ng isang application ay magkakaroon sa kanilang accou nts isang beses binigyan ng access. Inilarawan ni Cerrudo ang problema at ipinaliwanag kung paano niya natuklasan ito sa isang blog post na inilathala ng Martes.

Ang mga application na nagpapahintulot sa mga user na mag-log in gamit ang kanilang mga account sa Twitter ay dapat na mairehistro sa Twitter sa //dev.twitter.com/apps. Sa panahon ng pagpaparehistro, ang mga nag-develop ay kailangang magdeklara ng antas ng pag-access sa mga aplikasyon sa mga account ng mga tao: "basahin lamang," "basahin at isulat" o "basahin, isulat at i-access sa mga direktang mensahe."

[Karagdagang pagbabasa: Paano upang alisin ang malware mula sa iyong Windows PC

Kapag sinubukan ng mga gumagamit na mag-log in sa naturang application sa unang pagkakataon gamit ang kanilang mga Twitter account, maililipat sila sa isang pahina ng awtorisasyon sa website ng Twitter na naglilista ng mga pahintulot na hiniling ng partikular na application.

Sinabi ni Cerrudo na natuklasan niya ang isyu habang sinusubukan niya ang isang application na binuo ng isang kaibigan na may "read, write and access sa mga direktang mensahe" pahintulot na ipinahayag sa Twitter.

Kapag siya ay unang naka-sign in sa application sa kanyang Twitter account, siya ay na-redirect sa isang pahina ng awtorisasyon na ipinaalam sa kanya na ang application ay maaaring basahin ang mga tweet mula sa kanyang timeline, tingnan kung aling mga user siya sumusunod, sundin ang mga bagong user sa kanyang ngalan, i-update ang kanyang profile inf ormation at post tweet sa kanyang ngalan, sinabi niya. Ang pahina ay malinaw na nabanggit na ang application ay hindi maaaring ma-access ang mga direktang mensahe o ang password ng account.

"Pagkatapos tingnan ang ipinapakita na pahina ng web, pinagkakatiwalaan ko na ang Twitter ay hindi magbibigay ng access sa application sa aking password at direktang mga mensahe," siya sumulat sa blog. "Nadama ko na ang aking account ay ligtas, kaya ako ay nag-sign in at nag-play gamit ang application."

Napansin ng mananaliksik na ang application ay may pag-andar upang ma-access at ipakita ang mga direktang mensahe, ngunit ang tampok ay hindi lumilitaw na nagtatrabaho. Ito ay may katuturan dahil hindi siya hiningi na pahintulot.

Gayunpaman, pagkatapos ng pag-sign in at out ng application at Twitter ng ilang beses, ang kanyang mga direktang mensahe ay nagsimula na lumitaw sa application. Sa pag-check sa listahan ng mga application na awtorisadong makipag-ugnay sa kanyang Twitter account (Mga Setting> Apps) napansin niya na ang application ay sa katunayan ay may basahin, isulat, at ma-access ang mga direktang pahintulot ng mensahe.

"Napagtanto ko na ito ay isang malaking seguridad "Sinabi ni Cerrudo.

Nakumpirma ng mananaliksik noong Martes na matagumpay niyang ginawa ang pag-uugali nang maraming beses sa pamamagitan ng pagbawi ng access sa app at dumaan muli ang proseso ng pag-awtorisado nang hindi binigyan ng babala na maaaring basahin ng app ang kanyang mga pribadong mensahe. Ang isyu ay iniulat sa Twitter sa Enero 16 at natugunan nang wala pang 24 oras, sinabi niya.

"Sinabi nila na ang isyu ay naganap dahil sa komplikadong code at hindi tamang mga pagpapalagay at pagpapatunay," sabi ni Cerrudo sa blog post.

Gayunpaman, ang pag-aayos ng Twitter ay hindi mukhang mag-aplay nang pabalik-balik. Pagkatapos ng pag-aayos ng Twitter ang isyu, ang pagsubok na Cerrudo app na na-access na sa kanyang account ay patuloy na nagpapakita ng mga direktang mensahe sa kabila ng hindi kailanman pagtanggap ng pahintulot mula sa kanya na gawin ito, sinabi niya.

Dapat suriin ng mga user ng Twitter kung ang alinman sa mga apps na pinahintulutan nila sa nakaraan ay nagkamit din ng access sa kanilang mga direktang mensahe nang hindi nila nalalaman, sinabi ni Cerrudo. Ito ay maaaring gawin sa pamamagitan ng pagsusuri sa kanilang mga pahintulot sa Twitter Settings> Apps page.

Napagpasyahan ni Cerrudo na gawing publiko ang isyu na ito sapagkat maaaring magkaroon ito ng malubhang implikasyon at dahil hindi nag-isyu ang Twitter ng isang pampublikong advisory o anunsyo tungkol dito. Ang kumpanya ay dapat na mapanatili ang isang dedikadong pahina kung saan maaari itong ipaalam sa mga gumagamit tungkol sa mga isyu sa seguridad, sinabi niya.

Twitter ay hindi kaagad tumugon sa isang kahilingan para sa komento.