نقص در سیستم مجوز وبسایت Booking.com میتواند به مهاجمان اجازه دهد تا حسابهای کاربری را تصاحب کنند و اطلاعات شخصی یا کارت پرداخت خود را کاملاً مشاهده کنند، و همچنین به حسابهای پلتفرم خواهر وبسایت، Kayak.com وارد شوند. محققان دریافته اند.
محققان از امنیت نمک کشف مسائل در پیاده سازی پلت فرم از OAuth تأیید، یک استاندارد مجوز باز طراحی شده برای امکان تفویض دسترسی بین برنامه ها برای سایت های مختلف برای به اشتراک گذاشتن اعتبارنامه های ورود، طبق یک پست های وبلاگ امروز منتشر شد اگرچه این پروتکل به طور خاص برای این منظور طراحی نشده است، این پروتکل به استانداردی تبدیل شده است که به وبسایتها اجازه میدهد دادهها را از نمایههای فیسبوک بخوانند، یا مثلاً با استفاده از اعتبار Google وارد سایتی شوند. اکثر مردم با گزینههای نوع «ورود با فیسبوک» برای برخی از حسابهای آنلاین که به کاربران اجازه میدهد بدون ایجاد مجموعهای از اعتبارنامههای ورود به سیستم وارد شوند، آشنا هستند.
" نقض امنیتی [از طریق] OAuth یانیو بالماس، معاون پژوهشی Salt Security در این پست نوشت: میتواند منجر به سرقت هویت، کلاهبرداری مالی و دسترسی به انواع اطلاعات شخصی از جمله شماره کارت اعتباری، پیامهای خصوصی، سوابق سلامت و موارد دیگر شود.
به طور خاص، محققان یک آسیبپذیری تغییر مسیر باز را در Booking.com کشف کردند و با دسترسی به سایت از طریق گزینه «ورود با فیسبوک» به ورود به سیستم به موفقیت رسیدند. بر اساس این پست، آنها در نهایت از سه موضوع امنیتی سوء استفاده کردند و آنها را به هم زنجیر کردند تا بتوانند حساب کاربری خود را به دست آورند.
بالماس نوشت: «پس از ورود، مهاجم میتوانست هر اقدامی را از طرف کاربران در معرض خطر انجام دهد و در حساب کاربری، از جمله تمام اطلاعات شخصی کاربر، قابل مشاهده باشد.
او گفت که این موضوع میتواند باعث نقض جدی دادهها برای مشتریان وبسایت پرکاربرد رزرو هتل شود، که بخشی از شرکت Booking Holdings Fortune 500 است و بیش از 500 میلیون بازدیدکننده در ماه دارد. این سایت همچنین به کاربران امکان اجاره ماشین و رزرو تاکسی را می دهد.
بالماس در این پست نوشت: «یک مهاجم به طور بالقوه میتواند درخواستهای غیرمجاز از طرف قربانی انجام دهد، رزروهای موجود را لغو کند یا به اطلاعات شخصی حساس مانند تاریخچه رزرو، ترجیحات شخصی و رزروهای آینده دسترسی داشته باشد.
Salt Security مشکلات را به Booking.com فاش کرد، که محققان به دلیل پاسخ سریع برای رسیدگی و کاهش کامل آنها تحسین کردند. علاوه بر این، Booking.com در بیانیه ای که توسط Salt Security ارائه شده است، گفت: علاوه بر این، هیچ مدرکی دال بر مصالحه با پلتفرم Booking.com قبل از حل این مشکلات وجود نداشت.
این شرکت گفت: «با دریافت گزارش از سالت سکیوریتی، تیمهای ما فوراً یافتهها را بررسی کردند و مشخص کردند که هیچ سازشی برای پلتفرم Booking.com وجود نداشته است و آسیبپذیری به سرعت برطرف شد». "ما حفاظت از داده های مشتری را بسیار جدی می گیریم."
OAuth چگونه کار می کند
برای درک اینکه چگونه محققان اجرای OAuth Booking.com را به خطر انداختند، مهم است که بدانیم استاندارد در یک سایت چگونه عمل می کند و چگونه تفسیر Booking.com از آن ناقص است.
OAuth زمانی وارد عمل میشود که کاربر وارد یک وبسایت میشود و روی گزینه «Log in with Facebook» کلیک میکند که بسیاری از سایتها از آن برای تأیید اعتبار بین پلتفرمی استفاده میکنند. سپس سایت یک پنجره جدید به فیس بوک باز می کند و اگر اولین بار است که کاربر از سایت بازدید می کند، برای به اشتراک گذاشتن جزئیات با سایت اجازه می خواهد. در غیر این صورت، فیس بوک به طور خودکار کاربر را در سایت احراز هویت می کند.
هنگامی که کاربر روی دکمهای کلیک میکند تا مثلاً «به عنوان جین ادامه دهید»، فیسبوک یک رمز مخفی ایجاد میکند که برای وبسایت خصوصی است و با نمایه فیسبوک کاربر مرتبط است. سپس فیس بوک از توکن برای هدایت کاربر به وب سایت استفاده می کند، که از توکن برای برقراری ارتباط مستقیم با فیس بوک برای دریافت آدرس ایمیل کاربر استفاده می کند. سپس فیس بوک آدرس و ارتباط آن با کاربر را تأیید می کند که سایت از آن برای ورود موفقیت آمیز کاربر استفاده می کند.
به گفته آنها، تمام این ارتباطات بین فیس بوک و سایت ها شامل تغییر مسیرهای مختلف به URL های مختلف است، جایی که محققان توانستند از اجرای OAuth برای سرقت رمز یا کد قربانی سوء استفاده کنند. پیاده سازی بد غیر معمول نیست. در واقع، در نقض ماه مه گذشته، مهاجمان از توکن های OAuth استفاده کرد از Heroku زیرمجموعه Salesforce برای دسترسی به اطلاعات حساس حساب مشتری به سرقت رفته است.
یافتن ابزاری برای بهره برداری
بالماس گفت، با دانستن این نشانه، فرصت مهاجم نهفته است، محققان امنیت اجرای استاندارد را با ایجاد "رفتارهای غیرمنتظره جریان" با تغییر پارامترهای مختلف بررسی کردند تا ببینند چگونه این امکان را به آنها میدهد تا حمله موفقی را انجام دهند. آنچه آنها یافتند راه هایی برای دستکاری تغییر مسیرهای URL بود که در ارتباط بین دو سایت رخ می دهد تا کاربران را به URL های کنترل شده توسط محققان هدایت کنند، بنابراین یک باگ تغییر مسیر باز در Booking.com ایجاد کرد.
بالماس نوشت: «ما پیوندی ایجاد کردیم که هر حساب کاربری در Booking.com را که از فیسبوک استفاده میکند، میگیرد. "این پیوند خود به یک دامنه قانونی Facebook.com یا Booking.com اشاره می کند که تشخیص آن را (به صورت دستی یا خودکار) دشوار می کند.
به گفته محققان، این روش همچنین امکان تصاحب حساب در Kayak.com را فراهم میکند و کاربرانی را که از Google وارد Booking.com میشوند، تحت تأثیر قرار میدهد.
خطر سایبری گستردهتر پیادهسازی ضعیف OAuth
بالماس به Dark Reading میگوید در حالی که محققان تنها نحوه استفاده از OAuth را برای به خطر انداختن Booking.com در گزارش فاش کردند، اما سایتهای دیگری را کشف کردند که خطر استفاده نادرست از پروتکل احراز هویت را داشتند.
او میگوید: «ما چندین مورد دیگر از نقص OAuth را در وبسایتها و سرویسهای وب محبوب مشاهده کردهایم. پیامدهای هر مسئله متفاوت است و به خود باگ بستگی دارد. در موارد ما، ما در مورد تصاحب کامل حساب در همه آنها صحبت می کنیم. و مطمئناً تعداد بیشتری وجود دارد که هنوز کشف نشده است.»
بالماس میگوید OAuth یک راهحل آسان برای دور زدن فرآیند ورود کاربر برای صاحبان سایت ارائه میکند و اصطکاک را کاهش میدهد که مشکلی طولانی و خستهکننده است. با این حال، اگرچه ساده به نظر می رسد، اما اجرای موفقیت آمیز و ایمن این فناوری در واقع از نظر پیاده سازی فنی مناسب بسیار پیچیده است و یک حرکت اشتباه کوچک می تواند تأثیر امنیتی زیادی داشته باشد.
بالماس به Dark Reading میگوید: «به عبارت دیگر، قرار دادن یک قابلیت ورود به سیستم اجتماعی فعال در یک وبسایت بسیار آسان است، اما انجام درست آن بسیار دشوار است.
به طور کلی، Balmas به صاحبان سایت توصیه می کند که OAuth را "به عنوان بخشی حساس از خدمات خود در نظر بگیرند و یا دانش عمیق داخلی این زمینه را ایجاد کنند، تحت آزمایش های امنیتی و بررسی های مداوم قرار گیرند تا مفروضات خود را تأیید کنند، یا، البته، هر دو."
او می افزاید: «این توصیه کلی است که برای هر مسیر/فناوری حساسی که بخشی از خدمات فرد است، مرتبط است.»
- محتوای مبتنی بر SEO و توزیع روابط عمومی. امروز تقویت شوید.
- پلاتوبلاک چین. Web3 Metaverse Intelligence. دانش تقویت شده دسترسی به اینجا.
- منبع: https://www.darkreading.com/vulnerabilities-threats/booking-com-oauth-implementation-full-account-takeover
- :است
- 7
- a
- قادر
- درباره ما
- دسترسی
- دسترسی
- مطابق
- حساب
- حساب ها
- دست
- در میان
- عمل
- واقعا
- نشانی
- می افزاید:
- نصیحت
- معرفی
- اجازه دادن
- اجازه می دهد تا
- و
- هستند
- AS
- مرتبط است
- انجمن
- At
- حمله
- احراز هویت
- تصدیق
- مجوز
- بطور خودکار
- بد
- BE
- شدن
- قبل از
- میان
- کتاب
- Booking.com
- شکاف
- اشکال
- ساختن
- دکمه
- by
- CAN
- کارت
- اتومبیل
- موارد
- ایجاد می شود
- باعث می شود
- زنجیر شده
- متغیر
- رمز
- COM
- ارتباط
- ارتباط
- شرکت
- به طور کامل
- بغرنج
- سازش
- در معرض خطر
- ادامه دادن
- مداوم
- کنترل
- میتوانست
- دوره
- ایجاد شده
- ایجاد
- مجوزها و اعتبارات
- اعتبار
- کارت اعتباری
- مشتری
- اطلاعات مشتری
- مشتریان
- تاریک
- تاریک خواندن
- داده ها
- نقض داده ها
- عمیق
- بستگی دارد
- طراحی
- جزئیات
- مختلف
- مشکل
- مستقیم
- مستقیما
- کشف
- دامنه
- هر
- هر دو
- پست الکترونیک
- تاسیس
- مدرک
- مثال
- موجود
- بهره برداری
- سوء استفاده قرار گیرد
- خیلی
- فیس بوک
- آشنا
- رشته
- مالی
- نام خانوادگی
- بار اول
- ناقص
- معایب
- جریان
- برای
- ثروت
- یافت
- تقلب
- اصطکاک
- از جانب
- خسته کننده، اذیت کننده
- کامل
- قابلیت
- آینده
- افزایش
- سوالات عمومی
- تولید می کند
- دریافت کنید
- گوگل
- سخت
- آیا
- سلامتی
- تاریخ
- علاقجات
- هتل
- چگونه
- اما
- HTTPS
- بزرگ
- هویت
- بلافاصله
- تأثیر
- پیاده سازی
- اجرای
- پیامدهای
- مهم
- in
- در دیگر
- از جمله
- اطلاعات
- داخلی
- تفسیر
- موضوع
- مسائل
- IT
- ITS
- خود
- JPG
- دانش
- نام
- راه اندازی
- رهبری
- نهفته است
- ارتباط دادن
- طولانی
- ساخت
- باعث می شود
- دستی
- بسیاری
- به معنی
- پیام
- روش
- میلیون
- کاهش
- ماه
- بیش
- علاوه بر این
- اکثر
- جدید
- تعداد
- اوت
- of
- on
- ONE
- آنلاین
- باز کن
- عمل می کند
- فرصت
- گزینه
- گزینه
- دیگر
- صاحبان
- پارامترهای
- بخش
- مردم
- اجازه
- شخصی
- سکو
- افلاطون
- هوش داده افلاطون
- PlatoData
- بازی
- نقطه
- فقیر
- محبوب
- پست
- بالقوه
- تنظیمات
- رئيس جمهور
- خصوصی
- مشکل
- روند
- مشخصات
- پروفایل
- مناسب
- حفاظت
- پروتکل
- ارائه
- فراهم می کند
- هدف
- قرار دادن
- به سرعت
- خواندن
- مطالعه
- سوابق
- تغییر مسیر
- کاهش
- مربوط
- اجاره
- گزارش
- درخواست
- تحقیق
- محققان
- مصمم
- پاسخ دادن
- بررسی
- خطر
- s
- سعید
- salesforce
- نمک
- می گوید:
- راز
- ایمن
- تیم امنیت لاتاری
- به نظر می رسد
- حساس
- جدی
- سرویس
- خدمات
- تنظیم
- چند
- اشتراک گذاری
- امضاء
- امضای
- ساده
- تنها
- خواهر
- سایت
- سایت
- کوچک
- آگاهی
- راه حل
- برخی از
- به طور خاص
- استاندارد
- بیانیه
- به سرقت رفته
- فرعی
- موفقیت
- موفق
- موفقیت
- چنین
- مسلما
- سیستم
- گرفتن
- تصاحب
- طول می کشد
- سخنگو
- تیم ها
- فنی
- پیشرفته
- می گوید
- قوانین و مقررات
- تست
- که
- La
- سرقت
- شان
- آنها
- سه
- از طریق
- زمان
- به
- امروز
- با هم
- رمز
- درمان
- در نهایت
- غیر معمول
- فهمیدن
- غیر منتظره
- URL
- استفاده کنید
- کاربر
- کاربران
- تصدیق
- مختلف
- از طريق
- معاون رئیس جمهور
- قربانی
- دید
- بازدید کنندگان
- آسیب پذیری
- راه
- وب
- خدمات وب
- سایت اینترنتی
- وب سایت
- خوب
- چی
- که
- به طور گسترده ای
- اراده
- با
- کلمات
- کارگر
- خواهد بود
- اشتباه
- شما
- زفیرنت