研究人員發(fā)現(xiàn)了一個最新版的Facebook的SDK中的漏洞，該漏洞會暴露數(shù)以百萬計的Facebook的用戶身份認證令牌。
Facebook對于Android和IOS的SDK提供了使用身份驗證登錄Facebook，讀取和寫入到Facebook API等許多簡易方式。
Facebook的OAuth認證或說“以Facebook賬戶”登錄的機制，提供了一種無需用戶輸入用戶名或者密碼就能在第三方app上直接登錄的個性化而安全的方式。Faceook的SDK通過實現(xiàn)OAuth2.0的用戶代理流程來獲取應用所需要的訪問令牌，從而實現(xiàn)利用Facebook的API來實現(xiàn)讀取，修改或寫入用戶的Facebook數(shù)據(jù)的功能。
研究人員發(fā)現(xiàn)，F(xiàn)acebook的SDK庫直接把令牌以明文格式存儲在設備上，任何人都能輕易地獲取Android或者IOS的加密令牌，而完全不需要root或者越獄。“在一臺IOS設備上，插上USB之后，僅僅需要5秒鐘，就可以通過juice jacking攻擊獲取到訪問令牌。”研究人員稱。
除此之外，手機上的任何被賦予讀取文件系統(tǒng)權限的app都能夠遠程訪問或者偷取用戶的Facebook訪問令牌。
研究人員稱漏洞為“社會登錄會話劫持”。該漏洞一旦被利用，便可以讓攻擊者通過訪問令牌和會話劫持的方法來訪問受害者的Facebook帳戶信息。
京公網(wǎng)安備 11010502049343號