Το Facebook πλήρωσε το ποσό των 15.000 δολαρίων (δηλαδή περίπου 13.600 ευρώ) σε έναν ανεξάρτητο ερευνητή ασφάλειας, ο οποίος ανακάλυψε μία σημαντική ευπάθεια ασφαλείας που του έδινε τη δυνατότητα να επαναφέρει κωδικούς πρόσβασης άλλων λογαριασμών, έτσι με αυτό τον τρόπο είχε τη δυνατότητα να χακάρει Facebook accounts.
Όπως διαβάζουμε στο secnews.gr, ο προγραμματιστής που ανακάλυψε αυτό το σοβαρό bug και βοήθησε το Faceboοk να το επιδιορθώσει, ονομάζεται Anand Prakash και ζει στην πόλη Bangalore της Ινδίας.
Ο ίδιος γράφει σχετικά στο προσωπικό του blog ότι το ζήτημα αφορούσε στην πραγματικότητα μια ασήμαντη επίθεση brute-force στη φόρμα για την ανάκτηση του κωδικού πρόσβασης στο beta.facebook.com και όχι στο faceboοk.com, που προστατεύεται από τέτοιου τύπου αυτοματοποιημένες επιθέσεις.
Όπως σημειώνει, κάθε φορά που ένας χρήστης ξεχνάει τον κωδικό πρόσβασής του, έχει την επιλογή να τον επαναφέρει εισάγοντας τον αριθμό τηλεφώνου και τη διεύθυνση ηλεκτρονικού ταχυδρομείου του. Το Facebook τότε στέλνει ένα 6-ψήφιο κωδικό στον αριθμό τηλεφώνου ή στο email, τον οποίο ο χρήστης πρέπει να εισάγει προκειμένου να ορίσει ένα νέο κωδικό πρόσβασης. Ο ερευνητής προσπάθησε να πραγματοποιήσει μία επίθεση brute-force με τον 6-ψηφιο κωδικό στο www.facebook.com ωστόσο αποκλείστηκε μετά από 10-12 άκυρες προσπάθειες. Τότε έκανε το ίδιο στο beta.facebook.com και στο mbasic.beta.facebook.com διαπιστώνοντας ότι δεν είχε τον ίδιο περιορισμό, έτσι πέτυχε να πάρει τον έλεγχο ενός λογαριασμού (διάλεξε τον δικό του για να μην παραβιάσει την πολιτική του Facebook).
Δείτε στο video τον τρόπο που τα κατάφερε ο Anand Prakash να εντοπίσει αυτό το σημαντικό bug!
Να σημειώσουμε ότι ο ερευνητής ανακάλυψε το bug στις 22 Φεβρουαρίου και το ανέφερε στο Facebook το οποίο το επιδιόρθωσε άμεσα μέσα σε ένα 24ωρο.
