Instagram sikkerhedsgrænse gør det muligt for angriberne at slette fotos og overtage konti

Instagram kan være blevet den mest populære og mest anvendte billeddeling app til både iOS og Android platforme, men ligesom enhver anden app, det er ikke perfekt. Faktisk er der blevet fundet et nyt smuthul for nylig. Ifølge eksperter kan den nye Instagram-sikkerhedsfejl tillade angriberne at slette fotos eller endog overtage konti. Smuthullet blev opdaget i Instagram version 3.1.2, der kører på en iOS-enhed.

Instagram-API'en bruger både HTTP- og HTTPS-forbindelser til at sende anmodninger og data. Følsomme oplysninger som profilredigeringsdata og loginoplysninger sendes ofte via HTTPS, fordi det er en sikret kanal. Men det er blevet opdaget af folk på reventlov.com for nylig, at nogle data faktisk sendes ved hjælp af den anden kanal, der gør de udsatte for udnyttelse af nogle angriberne, der måske har kendt smuthullet.

Hvis data sendes via HTTP-kanal, er den eneste form for godkendelse, der kræves, en standardkage, der ofte sendes uden kryptering hver gang en bruger starter Instagram-appen. Attackere, der kan være på samme netværk som med iPhone eller iPad, kan muligvis opsnappe dataene via et simpelt arpspoofing-angreb og kan udnytte oplysningerne til deres smag. Hvis det sker, og angribere kan være i stand til at autentificere ved hjælp af aflyste oplysninger, har de allerede en ultimativ adgang til kontoen, og de kan ændre loginoplysninger, når som helst eller slette fotos.

De folk der har opdaget fejlen offentliggjorde den 10. november og de kontaktede Instagram om det en dag senere, men alt de fik var et automatiseret svar. Indtil videre kan dette problem stadig være i gang, så iOS-enhedsejere, der måske bruger Instagram oftere, bør bruge HTTPS-kanal de fleste gange eller aldrig bruge kun et åbent WiFi-adgangspunkt.

Dette problem kan kun vedrøre Instagram, men oftere ved angriberne præcis, hvad de skal finde for at kunne få adgang til andre konti, herunder Facebook, Twitter og endda e-mails. Sikkerhedsforanstaltninger bør træffes især af personer, som måske opbevarer nogle følsomme data på deres enheder.

[kilde: Reventlov]