Facebook rentan terhadap clickjacking

Facebook rentan terhadap serangan jenis tertentu yang bisa memungkinkan seseorang untuk membajak account sementara user berinteraksi dengan situs Web lain, peneliti keamanan memperingatkan hari Senin.

Reseacher Nitesh Dhanjani juga mengatakan desain Facebook cacat dalam pemberian aplikasi pihak ketiga izin untuk mengakses data profil pengguna tanpa mengungkapkan persetujuan dari pengguna.

Facebook digunakan untuk menampilkan sebuah jendela pop-up peringatan pengguna ketika mereka menambahkan setiap aplikasi pihak ketiga yang melakukan hal itu akan mengotorisasi app untuk mendapatkan akses ke informasi profil pengguna. Hal ini memungkinkan pengguna untuk mengubah pikiran mereka sebelum menambahkan app. Perusahaan telah mengubah kebijakan dan sekarang beberapa aplikasi dapat memilih untuk menggunakan fitur otorisasi implisit baru yang tidak memperingatkan Facebook pengguna bahwa aplikasi pihak ketiga yang mencoba untuk meminta data mereka, Dhanjani kata.

"Hal ini memungkinkan Facebook untuk memperoleh peningkatan adopsi aplikasi pihak ketiga, yang bisa menerjemahkan dengan pendapatan,"

katanya, seraya menambahkan bahwa setiap peringatan akan menghalangi beberapa pengguna dari penambahan aplikasi baru.

Dalam penelitian yang terpisah namun berhubungan, Dhanjani dan peneliti keamanan Israel mengatakan Narkolayev Shlomi penyerang dapat menggunakan clickjacking serangan untuk membajak account Facebook oleh menipu pengguna ke situs mengklik menyembunyikan kode berbahaya. Sebuah situs Web yang tampak seperti situs e-commerce atau yang menunjukkan video bisa menyembunyikan Facebook log-in halaman belakangnya sehingga ketika pengguna mengklik situs untuk memutar video, misalnya, account pengguna dibuka, bukan di belakang adegan, tanpa disadari pengguna.

"Menggunakan clickjacking Saya juga bisa menipu pengguna untuk mengklik apa pun yang saya inginkan: menambahkan saya sebagai teman mereka, menghapus account mereka, dan bahkan membuka kamera dan mikrofon mereka menggunakan flash (versi lebih lama kemudian 10.x), atau menginstal aplikasi yang Facebook posting Web mereka kamera dan mikrofon setiap kali mereka terhubung ke Facebook, "

Narkolayev menulis diblog-nya. Dia menunjukkan contoh dari serangan dalam sebuah video di situs dan mengakui bahwa situs lain yang rentan terhadap serangan jenis ini juga.

Twitter dihantam oleh serangkaian serangan clickjacking tahun lalu.

Facebook jurubicara Simon Axten mengatakan serangan clickjacking contoh yang standar dan tidak unik ke Facebook.

"Kami sedang membangun beberapa perlindungan tambahan untuk jenis serangan-serangan dan mengingatkan orang untuk berhati-hati dari setiap pesan, posting, atau link yang mereka temukan di Facebook atau di tempat lain di Internet yang terlihat mencurigakan,"

kata Axten e-mail.