{"id":47665,"date":"2016-11-05T13:37:57","date_gmt":"2016-11-05T12:37:57","guid":{"rendered":"http:\/\/www.alground.com\/site\/?p=47665"},"modified":"2016-11-05T13:37:57","modified_gmt":"2016-11-05T12:37:57","slug":"un-miliardo-account-app-mobile-rischio","status":"publish","type":"post","link":"https:\/\/alground.com\/site\/un-miliardo-account-app-mobile-rischio\/47665\/","title":{"rendered":"Un miliardo di account di app mobile a rischio"},"content":{"rendered":"

Ricercatori di sicurezza hanno scoperto un modo per accedere ad un numero enorme di applicazioni Android e iOS \u00a0senza che la vittima possa venirne a conoscenza. App di Facebook, giochi on line, e qualsiasi app utilizzi l’auth (codice di autorizzazione) derivato da un account social.<\/p>\n

Un gruppo di tre ricercatori – Ronghai Yang, Ala Cheong Lau, e Tianyu Liu – presso l’Universit\u00e0 cinese di Hong Kong hanno trovato che la maggior parte delle applicazioni mobili, soprattutto quelle molto popolari, che supportano il servizio Single sign-on (SSO) hanno implementato OAuth 2.0 in modo anomalo e poco sicuro.<\/p>\n

OAuth 2.0<\/strong><\/a> \u00e8 uno standard per l’autorizzazione che consente agli utenti di accedere a servizi di terze parti, verificando l’identit\u00e0 esistente con un\u00a0account Google, Facebook, o altri servizi.<\/p>\n

Quando un utente accede ad un’app di terze parti tramite OAuth, i controlli si mettono in contatto \u00a0con il provider ID, diciamo, di Facebook, che ha i dati di autenticazione. Se lo fa, OAuth avr\u00e0 un ‘token di accesso’ (una specie di firma) da Facebook che viene poi rilasciata al server di tale app mobile.<\/p>\n

Una volta che il token di accesso viene rilasciato, il server dell’applicazione richiede le informazioni di autenticazione dell’utente a Facebook, verifica e poi garantisce\u00a0l’accesso con\u00a0le credenziali dell’utente di Facebook.<\/p>\n

La verifica di accesso \u00e8 falsa<\/h2>\n

Invece di verificare l’OAuth (token di accesso) collegato\u00a0alle informazioni di autenticazione dell’utente per convalidare che il provider dell’utente e l’ID siano gli stessi, il server dell’applicazione controllerebbe solo l’ID.<\/p>\n

A causa di questo errore, gli attacker possono scaricare l’applicazione vulnerabile, accedere alle loro informazioni e poi cambiare il loro nome utente con l’individuo che vogliono colpire\u00a0attraverso la creazione di un server per modificare i dati inviati da Facebook, Google o altri fornitori di ID.<\/p>\n

Questo metodo di sostituzione delle informazioni \u00e8 molto facile da eseguire persino da chi non \u00e8 molto esperto in questo tipo di attacchi. Nel Paper che trovate qui sotto c’\u00e8 tutta la spiegazione passo passo di come i ricercatori hanno scoperto la vulnerabilit\u00e0.<\/p>\n

Pensate solo a quanti utilizzatori di Crash Saga ci sono al mondo e di come si potrebbe bypassare il login di un utente ed avere quindi accesso a pagamenti, informazioni e quant’altro. Un pericolo davvero imponente.<\/p>\n

SCARICA E LEGGI IL PAPER ORIGINALE DELLA VULNERABILITA’<\/strong><\/a><\/p>\n","protected":false},"excerpt":{"rendered":"

Ricercatori di sicurezza hanno scoperto un modo per accedere ad un numero enorme di applicazioni Android e iOS \u00a0senza che la vittima possa venirne a conoscenza. App di Facebook, giochi on line, e qualsiasi app utilizzi l’auth (codice di autorizzazione) derivato da un account social. Un gruppo di tre ricercatori – Ronghai Yang, Ala Cheong […]<\/p>\n","protected":false},"author":1,"featured_media":46284,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"pmpro_default_level":"","footnotes":""},"categories":[1413],"tags":[],"class_list":{"0":"post-47665","1":"post","2":"type-post","3":"status-publish","4":"format-standard","5":"has-post-thumbnail","7":"category-attualita","8":"pmpro-has-access"},"aioseo_notices":[],"jetpack_featured_media_url":"https:\/\/alground.com\/site\/wp-content\/uploads\/2016\/04\/eliiminare-app-facebook-privacy-1000x300.jpg","wps_subtitle":"","_links":{"self":[{"href":"https:\/\/alground.com\/site\/wp-json\/wp\/v2\/posts\/47665","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/alground.com\/site\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/alground.com\/site\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/alground.com\/site\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/alground.com\/site\/wp-json\/wp\/v2\/comments?post=47665"}],"version-history":[{"count":0,"href":"https:\/\/alground.com\/site\/wp-json\/wp\/v2\/posts\/47665\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/alground.com\/site\/wp-json\/wp\/v2\/media\/46284"}],"wp:attachment":[{"href":"https:\/\/alground.com\/site\/wp-json\/wp\/v2\/media?parent=47665"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/alground.com\/site\/wp-json\/wp\/v2\/categories?post=47665"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/alground.com\/site\/wp-json\/wp\/v2\/tags?post=47665"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}