Cum pot hackerii să îți asculte mesajele audio de pe Facebook Messenger

O problemă de securitate descoperită în Facebook Messenger le permite hackerilor să interceptese mesaje audio private.

Folosirea funcției de mesaje audio din Messenger pare să fie una de alb sau negru, cu foarte puține nuanțe de gri între. Sunt persoane care nu se ating de această funcție, dar și mulți utilizatori care își bazează conversațiile pe astfel de mesaje. Mai sunt și unii ca mine, care poate că au trimis 10 mesaje vocale de când a fost implementată funcția.

Clipurile audio trimise prin intermediul Messenger sunt predispuse la un simplu atac de tip MITM, sau man-in-the-middle, unde o terță parte interceptează mesajul în drumul pe care acesta îl face de la tine către partenerul de discuție. Vulnerabilitatea a fost descoperită de către Mohamed A. Baset, un cercetător în domeniul securității online.

Atunci când o persoană înregistrează mesaje audio și le trimite altcuiva, clipurile sunt upload-ate pe serverele Facebook. De acolo, fișierul ajunge la partenerul de discuție, iar transferul are loc printr-o rețea de tip HTTPS.

Cum arată acum și ce familie frumoasă are Laura Bretan. Imaginile superbe postate de fosta câștigătoare de la Românii au talent de Ziua Recunoștinței

BEC: Voturile din primul tur al alegerilor prezidențiale vor fi renumărate în acest weekend

Un hacker ce vrea să execute un atac de tip MITM împotriva unui utilizator de Facebook, poate lansa un atac de tip SSL Strip. Acesta poate să extragă link-ul absolut, ce conține și cheia de autentificare integrată în acesta, pentru toate fișierele ce sunt trimise prin intermediul conversației. Astfel, fișierele pot fi obținute cu ușurință, arată fossbytes.com.

HSTS, sau HTTP Strict Transport Security, este o tehnologie nouă ce sporește securitatea pe internet, deoarece browserele sunt forțate să acceseze site-uri doar prin intermediul unei conexiuni HTTPS. Din păcate, Facebook nu folosește încă un protocol de tip HSTS.

Compania știe deja de această problemă, dar încă nu a oferit o rezolvare pentru aceasta. De asemenea, nu a oferit nici o recompensă pentru descoperirea problemei, afirmând că ”faptul că nu am implementat HSTS pe anumite subdomenii nu reprezintă un raport valid pentru programul nostru”.