Facebook Messenger-bug afslørede, hvem brugerne havde chatteret med

Bare i går leverede Mark Zuckerberg sin vision for det nye privatlivsfokuseret fremtid for Facebook. Hvis du gik glip af det, centrerer forslaget om private, intime interaktioner inden for krypterede samtaler.

Mindre end 24 timer efter grundlæggerens og den administrerende direktørs højtidelige løfte har det vist sig, at en fejl inden for Facebook Messenger kunne have gjort det muligt for hackere at se nøjagtigt, hvem brugerne havde snakket med.

Den nu løste fejl blev opdaget af forskere, der nu har offentliggjort indsigt i fejlen, som udpegede hvilke Facebook-kontakter en bruger havde talt med ved hjælp af Messenger. Selvom disse oplysninger ikke indeholdt indholdet af meddelelser, kan det være skadeligt for nogle brugere, at disse data afsløres.

I en blogindlæg, Imperva Researchs Ron Masas, skitserede, hvordan et browserbaseret sidekanalangreb kortlagde kommunikation mellem Facebook-konti.

Relaterede: Sådan slettes en Facebook-konto permanent

Han forklarede, hvordan hackere kunne målrette mod en brugers webbrowser og bruge iFrame-elementer til at placere personens Facebook kontakter på to lister, en med personer, de havde kommunikeret med, og en anden af ​​dem, de havde ikke.

I blogindlægget skrev han (via Engadget):

”Jeg begyndte at kigge rundt i Messenger-webapplikationen og bemærkede, at iframe-elementer dominerede brugergrænsefladen. Chatboksen såvel som kontaktlisten blev gengivet i iframes og åbnede muligheden for et CSFL-angreb.

”Jeg begyndte at grave i disse tre iframes for at forstå, hvordan, hvorfor og hvornår de er indlæst. Jeg besluttede at registrere iframe-tælledataene over tid for så mange slutpunkter, jeg kunne finde med det mål at afdække interessante og påviselige tilstande.

"Efter et par tests begyndte jeg at undersøge samtalens slutpunkt, jeg registrerede" fuldstatus "-data, hvilket betyder sider, der ville indlæse min samtale med en bruger, jeg har været i kontakt med, og nogle "tomme tilstand" -data, der viser samtaler med brugere, som jeg aldrig har haft kontaktet. ”

Masas rapporterede truslen mod Facebook under dets ansvarlige afsløringsprogram. Han sagde, at Facebook hurtigt løste problemet ved at bryde sit bevis for konceptet. Efter at han havde ændret algoritmen for at komme rundt, fjernede Facebook til sidst alle iFrame-elementer fra Messenger UI.

Det ser ud til, at virksomheden stadig har en lille vej at gå til at indse den sikre fremtid for sine brugere, ikke?

Stoler din Zuckerbergs løfte om at rydde op i Facebook? Fortæl os @TrustedReviews på Twitter.