Strokovnjaki za kibernetsko varnost postavijo napake Mastodona pod drobnogled

Medtem ko Mastodon doživlja eksplozivno rast uporabnikov kot zamenjava za Twitter, strokovnjaki za infosec opozarjajo na varnostne luknje v omrežju družbenih medijev. Od anonimnega strežnika, ki zbira podatke o uporabnikih, do konfiguracijskih napak, ki ustvarjajo ranljivosti, povečana priljubljenost platforme vodi k povečanemu pregledu njenih pomanjkljivosti.

Za razliko od drugih aplikacij družbenih medijev, ki imajo osrednji organ, je Mastodon zveza strežnikov, ki lahko komunicirajo med seboj, vendar jih vzdržujejo in vodijo ločeno neodvisni skrbniki. To pomeni, da lahko za različne uporabnike in objave veljajo različna pravila, različne konfiguracije in včasih različne različice programske opreme.

Eden najbolj priljubljenih »primerkov« – izraz Mastodon za posamezne strežnike/skupnosti – za skupnost kibernetske varnosti je infosec.exchange in njeni člani zagotovo natančno preučujejo njegovo konfiguracijo. Gareth Heyes (@gaz na infosec.exchange), raziskovalec pri PortSwiggerju, je odkril Ranljivost vbrizgavanja HTML ki izhajajo iz atributov uporabljene specifične programske vilice.

V drugem primeru iz nedavnega Članek o tednu varnosti, Lenin Alevski (@alevsk na infosec.exchange), inženir varnostne programske opreme pri MinIO, je opozoril na napačna konfiguracija sistema ki bi mu omogočil prenos, spreminjanje ali brisanje vsega v vedru za shranjevanje v oblaku S3 instance.

Končno je raziskovalec Anurag Sen (@hak1mlukha na infosec.exchange) odkril anonimni strežnik, ki je bil strganje uporabniških podatkov Mastodon.

Uporabniki Twitterja se zgrinjajo v Mastodon

Do nedavnega je Mastodon veljal za del socialno-medijskega podzemlja, alternativo Twitterju, ki je bil ustvarjen leta 2016 kot loputa v sili pred govorice o odkupu. Ko se je Elon Musk aprila prvič strinjal z nakupom mikroblogerskega velikana, je Mastodon pridobil 30,000 novih uporabnikov na dan v primerjavi z bolj tipično rastjo pod 2,000 na dan. A to je kaplja čez rob v primerjavi z 135,000 novih uporabnikov ki se je pridružil 7. nov.

»Fediverse in kateri koli primerek Mastodon obravnavajte kot prostor za izmenjavo informacij, povezovanje in sodelovanje na enak način, kot bi te stvari počeli osebno na mestnem trgu ali v javni kavarni. Skratka, ne uporabljajte Mastodona za pošiljanje občutljivih, osebnih ali zasebnih informacij, ki jih tako ali tako ne bi bilo udobno javno objaviti,« je po e-pošti povedala Melissa Bischoping, direktorica in specialistka za raziskave varnosti končnih točk pri Taniumu.

»Poleg kode način, kako je Mastodon segmentiran, pomeni, da sta ena ali dve osebi, ki upravljata določeno instanco, šibka povezava v varnostnem modelu,« je dodal David Maynor, višji direktor za obveščanje o grožnjah pri Cybrary. "Moj nasvet za selitev je odločen 'kupec pozor'."

Seveda, Twitter is št tujec do varnost VprašanjaTako opozorilo emptor je brezčasen in univerzalen.