Istraživač: Twitter propust dao aplikacijama trećih strana neovlašteni pristup privatnim porukama

Korisnici koji su se prijavili u treće strane Web ili mobilne aplikacije koje koriste svoje Twitter račune možda su tim aplikacijama dale pristup svojim privatnim "izravnim" porukama na Twitteru, bez da to znaju, prema Cesar Cerrudo, glavnom tehnološkom časniku sigurnosne konzultantske tvrtke IOActive.

Ovo pitanje je rezultat nedostatak u API-ju Twittera (sučelje za programiranje aplikacija) koje je dovelo do toga da korisnici nisu pravilno obaviješteni o dozvolama koje aplikacija ima na svoj račun Jednom je odobren pristup. Cerrudo je opisao problem i objasnio kako ga je otkrio u postu objavljenom u utorak.

Aplikacije koje korisnicima omogućuju prijavu sa svojim računima na Twitteru moraju biti registrirane na Twitteru na //dev.twitter.com/apps. Tijekom registracije, njihovi programeri moraju proglasiti razinu pristupa aplikacijama na računima ljudi: "samo čitanje", "čitanje i pisanje" ili "čitanje, pisanje i pristup izravnim porukama".

[Daljnje čitanje: Kako za uklanjanje zlonamjernih programa s računala sa sustavom Windows]

Kada se korisnici prvi put pokušaju prijaviti na takav program pomoću svojih računa na Twitteru, oni se preusmjeravaju na stranicu za autorizaciju na web-mjestu Twittera koja navodi dozvole koje zahtijeva određena aplikacija.

Cerrudo je rekao da je otkrio problem dok je testirala aplikaciju koju je razvio prijatelj koji je imao dopuštenje za "čitanje, pisanje i pristup izravnim porukama".

Kada je prvi put prijavio aplikaciju sa svojim Twitter račun je preusmjeren na stranicu autorizacije koja mu je obavijestila da će aplikacija moći čitati tweete sa svoje vremenske trake, vidjeti koje korisnike slijedi, slijediti nove korisnike u njegovo ime, ažurirati profil inf ormation i post tweets u njegovo ime, rekao je on. Stranica je jasno napomenula da aplikacija neće moći pristupiti izravnim porukama ili lozinki računa.

"Nakon pregledavanja prikazane web stranice, vjerovao sam da Twitter ne bi aplikaciji omogućio pristup lozinki i izravnim porukama", dodao je. napisao je na blogu. "Osjetio sam da je moj račun siguran, pa sam se prijavio i igrao s aplikacijom."

Istraživač je primijetio da aplikacija ima funkcionalnost za pristup i prikaz izravnih poruka, ali ta značajka nije djelovala. To je imalo smisla jer nije zatraženo da odobri to dopuštenje. Međutim, nakon što su se prijavili i izišli iz aplikacije i Twitter nekoliko puta, njegove izravne poruke počele su se pojavljivati ​​u aplikaciji. Prilikom provjere popisa aplikacija koje su ovlaštene za interakciju sa svojim Twitter računom (Postavke> Aplikacije) primijetio je da je aplikacija zapravo imala dopuštenje za čitanje, pisanje i pristup izravnim porukama.

"Shvatio sam da je riječ o ogromnoj sigurnosti ", rekao je Cerrudo.

Istraživač je potvrdio da je uspješno kopirao ponašanje nekoliko puta ukidanjem pristupa aplikaciji i ponovnim postupkom autorizacije bez upozorenja da će aplikacija moći čitati njegove privatne poruke. Problem je prijavljen Twitteru 16. siječnja i upućen je u manje od 24 sata, rekao je.

"Rekli su da je problem nastao zbog složenih kodova i netočnih pretpostavki i validacija", rekao je Cerrudo na blogu.

Međutim, čini se da se popravci usluge Twitter ne primjenjuju retroaktivno. Nakon što je utvrdio problem na Twitteru, aplikacija Cerrudo testirala je da je već imao pristup računu i dalje prikazivati ​​izravne poruke, unatoč tome što nikada nije dobio ovlaštenje od njega da to učini.Korisnici Twittera trebali bi provjeriti jesu li neke od aplikacija koje su ovlastile u prošlosti također stekle pristup njihovim izravnim porukama bez njihovog znanja, rekao je Cerrudo. To se može učiniti pregledavanjem njihovih dopuštenja na stranici Twitter Postavke> Aplikacije.

Cerrudo je odlučio objaviti ovo pitanje jer može imati ozbiljne posljedice i zato što Twitter nije objavio javni savjetnik ili obavijest o tome. Tvrtka bi trebala održavati posvećenu stranicu na kojoj može obavijestiti korisnike o sigurnosnim pitanjima, rekao je.

Twitter nije odmah odgovorio na zahtjev za komentar.