Il-pjattaforma HackerOne, li tippermetti lir-riċerkaturi tas-sigurtà jinfurmaw lill-iżviluppaturi dwar l-identifikazzjoni tal-vulnerabbiltajiet u jirċievu premjijiet għal dan, irċeviet dwar il-hacking tiegħek. Wieħed mir-riċerkaturi rnexxielu jikseb aċċess għall-kont ta 'analista tas-sigurtà f'HackerOne, li għandu l-abbiltà li jara materjali klassifikati, inkluża informazzjoni dwar vulnerabbiltajiet li għadhom ma ġewx iffissati. Mill-bidu tal-pjattaforma, HackerOne ħallas lir-riċerkaturi total ta '$ 23 miljun biex jidentifikaw vulnerabbiltajiet fi prodotti minn aktar minn 100 klijent, inklużi Twitter, Facebook, Google, Apple, Microsoft, Slack, il-Pentagon, u l-US Navy.
Ta’ min jinnota li t-teħid tal-kont sar possibbli minħabba żball uman. Wieħed mir-riċerkaturi ssottometta applikazzjoni għal reviżjoni dwar vulnerabbiltà potenzjali f'HackerOne. Waqt l-analiżi tal-applikazzjoni, analista HackerOne pprova jirrepeti l-metodu ta 'hacking propost, iżda l-problema ma setgħetx tiġi riprodotta, u tweġiba ntbagħtet lill-awtur tal-applikazzjoni talbet dettalji addizzjonali. Fl-istess ħin, l-analista ma ndunax li, flimkien mar-riżultati ta 'kontroll mingħajr suċċess, huwa b'mod involontarju bagħat il-kontenut tas-sessjoni tiegħu Cookie. B'mod partikolari, matul id-djalogu, l-analista ta eżempju ta 'talba HTTP magħmula mill-utilità curl, inklużi headers HTTP, li minnhom nesa li jneħħi l-kontenut tas-sessjoni Cookie.
Ir-riċerkatur innota din is-sorveljanza u seta’ jikseb aċċess għal kont privileġġat fuq hackerone.com billi sempliċement daħħal il-valur tal-Cookie nnutat mingħajr ma jkollu jgħaddi mill-awtentikazzjoni b’ħafna fatturi użata fis-servizz. L-attakk kien possibbli minħabba li hackerone.com ma jorbotx is-sessjoni mal-IP jew il-browser tal-utent. L-ID tas-sessjoni problematika tħassret sagħtejn wara li r-rapport tat-tnixxija ġie ppubblikat. Ġie deċiż li r-riċerkatur jitħallas 20 elf dollaru biex jinforma dwar il-problema.
HackerOne beda verifika biex janalizza l-okkorrenza possibbli ta 'tnixxija ta' Cookies simili fil-passat u biex tevalwa tnixxijiet potenzjali ta 'informazzjoni proprjetarja dwar il-problemi tal-klijenti tas-servizz. Il-verifika ma żvelatx evidenza ta 'tnixxijiet fil-passat u ddeterminat li r-riċerkatur li wera l-problema seta' jikseb informazzjoni dwar madwar 5% tal-programmi kollha ppreżentati fis-servizz li kienu aċċessibbli għall-analista li ntużat iċ-ċavetta tas-sessjoni tiegħu.
Biex nipproteġu kontra attakki simili fil-futur, implimentajna l-irbit taċ-ċavetta tas-sessjoni mal-indirizz IP u l-iffiltrar taċ-ċwievet tas-sessjoni u t-tokens tal-awtentikazzjoni fil-kummenti. Fil-futur, qed jippjanaw li jissostitwixxu l-irbit ma 'l-IP ma' l-irbit ma 'tagħmir ta' l-utent, peress li l-irbit ma 'l-IP huwa inkonvenjenti għall-utenti b'indirizzi maħruġa b'mod dinamiku. Ġie deċiż ukoll li tespandi s-sistema tal-log b'informazzjoni dwar l-aċċess tal-utent għad-dejta u timplimenta mudell ta 'aċċess granulari għall-analisti għad-dejta tal-klijenti.
Sors: opennet.ru