Australiano dimostra hack su account Facebook, guai per lui

La dimostrazione pubblica, da parte di un ricercatore per la sicurezza australiano, di una debolezza nella sicurezza degli account di Facebook ha attratto l'attenzione dei media e dei commentatori in rete, ma anche delle autorità australiane, con qualche guaio per il realizzatore dell'impresa.

Il ricercatore in questione, Christian Heinrich, ha effettuato un attacco di tipi "brute force" contro l'account di Facebook della moglie del suo collega Chris Gatford, riuscendo ad accedere a foto private presenti sull'account senza essere amico della donna nel social network.

Il ricercatore ha poi mostrato il risultato del suo hack, facendo vedere le foto ad una platea di circa 20 esperti in sicurezza alla conferenza BSides Australia che si teneva a Queensland.

Dopo la dimostrazione la polizia locale sta investigando su Heinrich per possibili violazioni della legge australiana, il cosiddetto "computer misuse act", ed ha anche trattenuto un giornalista del Sidney Morning Herald, Ben Grubbche, che ha intervistato Heinrich ed ha postato una delle foto rubate in un suo commento alla presentazione.

La cosa più preoccupante è che il buco che ha consentito ad Heinrich di accedere alle foto è in un componente comune per la maggior parte dei social network: CDN (content distribution networks), ciò che consente alle compagnie di dislocare dati con un'ampia larghezza di banda nella prossimità degli utenti.

Heinrich ha dichiarato di aver estratto le foto dalla cache di Facebook, usando solo il numero ID di Facebook dell'utente "colpito" e il numero identificativo della foto, generato randomicamente (qui è stata necessaria la forza bruta di calcolo). Nessun bisogno di autenticarsu ne' di essere amico dell'utente.

La dimostrazione, ovviamente, non poteva non sforare in un comportamento illegale per la restrittivissima legge australiana, ma è servita a dimostrare lo scarso controllo dei social network e di altri siti web per la condivisione di contenuti, sulla sicurezza dei dati dei propri utenti.