祖克伯 Facebook賬號又要被黑？臺灣天才駭客張啟元欲直播刪號過程

Editor發表於2018-09-29

Facebook披露安全漏洞，9000萬使用者被強行登出賬戶

Facebook昨日(9月28日）披露了一個廣泛存在的安全漏洞，Facebook近5000萬社交網路使用者受到影響，並讓攻擊者可以訪問這些使用者使用Facebook登入的其他網站和應用程式的帳戶。

攻擊者利用了一個名為“View As”的功能中的錯誤，該功能允許使用者以其他人的方式檢視他們的Facebook頁面。攻擊者能夠接管帳戶並使用它們，就像他們是帳戶持有者一樣。這將包括髮布或檢視任何該帳戶的朋友共享的資訊。 Facebook表示沒有訪問儲存在公司的信用卡資訊。

隨後，Facebook 產品副總裁Guy Rosen發文告知使用者已採取的行動。

首先，我們已經修復了漏洞並通知了執法部門。

其次，重置了我們知道受影響的近5000萬個帳戶的訪問令牌，以保護他們的安全。我們還採取了預防措施，重新設定了去年受到“View as”查詢的另外4000萬帳戶的訪問令牌。因此，現在大約有9000萬人需要重新登入Facebook或任何使用Facebook登入的應用程式。重新登入後，人們會在新聞Feed的頂部收到通知，說明發生了什麼。

第三，我們在進行徹底的安全審查時暫時關閉了“View as”功能。

其他技術細節

Guy Rosen還公佈了上述安全問題的一些其他技術細節。

本週早些時候，我們發現外部參與者攻擊了我們的系統並利用了一個漏洞，當我們推出“View As”功能的特定元件時，該漏洞會在HTML中為人們的帳戶暴露Facebook訪問令牌。該漏洞是三個不同錯誤相互作用的結果：

第一：View As是一種隱私功能，可讓人們看到其他人對自己個人資料的看法。 View As應該是一個僅檢視的介面。但是，對於一種型別的內容釋出者（允許你將內容釋出到Facebook的框）——特別是讓人們希望他們的朋友生日快樂的型別，使得View As錯誤地提供了釋出視訊的機會。

第二：2017年7月推出的我們的視訊上傳器的新版本（將作為第一個錯誤的結果呈現的介面）錯誤地生成了具有Facebook移動應用程式許可權的訪問令牌。

第三：當視訊上傳器作為View As的一部分出現時，它生成的訪問令牌不是為您作為檢視器，而是為您正在查詢的使用者。

正是這三個錯誤的組合成了一個漏洞：當使用“檢視為”功能將您的個人資料視為朋友時，程式碼並沒有刪除讓人們祝你生日快樂的作曲家;視訊上傳器會在不應該有的情況下生成訪問令牌;當生成訪問令牌時，它不適合您，而是被查詢的人。

然後，該頁面的HTML中提供了該訪問令牌，攻擊者可以將其提取並利用以另一個使用者身份登入。然後，攻擊者可以從該訪問令牌轉到其他帳戶，執行相同的操作並獲得進一步的訪問令牌。

Facebook表示，它正在大力投資未來的安全性，並將從事安全工作的人數從10,000人增加到20,000人。

祖克伯說，“安全是一場軍備競賽，我們正在繼續改善我們的防禦，”