חוקרים לבנות יישום זדוני פייסבוק

צוות חוקרים בונים תוכנית פייסבוק זדונית בניסוי כדי להדגים את הסכנות האפשריות של יישומי הרשתות החברתיות.

הניסוי מראה את הקלות שבה התוקפים יכולים לשפוך מספר גדול של משתמשים להורדת יישום בלתי מזיק לכאורה, אשר למעשה מבצע התקפה חשאית שיכולה לנכות אתר אינטרנט.

פייסבוק ואתרי אינטרנט אחרים כגון MySpace, Bebo ו- Google יוצרים פלטפורמות טכנולוגיות שמאפשרות למפתחי צד שלישי לבנות יישומים להפעלה באתרים אלו. הרעיון פותח את הדלת לחדשנות, אך גם עורר דאגות לגבי האופן שבו ניתן להשתמש ביישומים אלה לצורך ספאם או לגנוב נתונים אישיים.

החוקרים פיתחו יישום בשם "תמונת היום", אשר משרת אתר חדש של נשיונל ג'יאוגרפיק צילום יומי. אבל ברקע, בכל פעם שלחץ על היישום, הוא שולח בקשת HTTP 600 K-byte לתמונות לאתר האינטרנט של הקורבן.

בקשות אלה, כמו גם תמונות אלה, אינן נראות על ידי אדם המשתמש בתמונה של יום, שבו החוקרים כינו יישום "Facebot". האפקט הוא מבול של תנועה לאתר האינטרנט של הקורבן, המכונה התקפת מניעת שירות.

החוקרים העלו את בקשתם לפייסבוק בינואר וסיפרו על כך לעמיתים אחדים. גם ללא פרסום או קידום אחר, קרוב ל -1,000 אנשים התקינו אותו בפרופילים שלהם, הרבה להפתעת החוקרים.

הם עקבו אחר התנועה באתר אינטרנט שהקימו עבור תמונה של יום כדי לתקוף. אם נתוני תנועה אלה הוחלו על יישומי פייסבוק שיש להם מיליון משתמשים או יותר, הם העריכו כי אתר האינטרנט של הקורבן יכול להיות מופגז על ידי עד 23 M סיביות לשנייה של תנועה, או 248 G בתים של נתונים לא רצויים ליום. > "לפייסבוק יש יישומים בעלי פלטפורמה מפוצלת מאוד עם כוח אש משמעותי בשליטתם", כתבו החוקרים.

ה- Facebot הזדוני יכול גם להיות מבוים לתפקידים אחרים. תוקף יכול ליצור יישום המשתמש בבקשות JavaScript ו- HTTP כדי לברר אם מארח מסוים יש לפתוח יציאות מסוימות, הם כתבו. אפשרות נוספת היא ליצור יישום המספק קישור זדוני כדי להדביק אתר אינטרנט עם תוכנה זדונית.

מכיוון שיישומי פייסבוק יכולים לקבל גישה לפרטים האישיים של המשתמשים, זה יהיה גם אפשרי עבור היישום לתפוס את כל אלה אבל הם יכולים למצוא את המידע על השרתים המרוחקים. תרופה אחת היא להבטיח כי יישומים לא יכולים לתקשר עם המארחים שאינם חלק הרשת החברתית. יישומים חדשים צריכים להיות מאומתים היטב על ידי אתר הרשתות החברתיות. ממשקי API (ממשקי תכנות יישומים) צריכים להיות מעוצבים כדי לא לאפשר אינטראקציה רבה מדי עם שאר האינטרנט.

תמונת היום עדיין רשומה בפייסבוק, עם ייחוסו המיוחס לאנדריאס מקרידקיס, אחד החוקרים. ביישום יש 543 משתמשים עכשיו, עם כמה הערות לשבח אותו.

המחקר פורסם על ידי הקרן למחקר וטכנולוגיה ב Heraklion, יוון, המכון למחקר אינפוקום בסינגפור.