È passato oltre un anno da quando Zimperium ha scoperto una seria vulnerabilità in LinkedIn, sfruttando la quale un malintenzionato può ottenere il controllo completo su un profilo altrui.

Ci si aspetterebbe che ormai tale problema sia stato ampiamente risolto e invece ancora oggi, 12 mesi e 6 solleciti dopo, la falla resta aperta.

Un semplice attacco Man-In-The-Middle permette di intercettare le credenziali di un utente mentre queste vengono trasmesse: l'indirizzo email, la password, i messaggi letti e inviati, le connessioni e gli utenti che hanno visualizzato il profili sono le informazioni a cui si ha accesso.

Proposte di lettura:

Attenzione alle app troppo curiose

4 consigli per un sito web sicuro

LinkedIn bandisce escort e prostitute

LinkedIn, compromessi 5 account su 100

Una volta entrato nel profilo, l'hacker può poi sbizzarrirsi e fare ciò che vuole; si tratta di una libertà ancora più pericolosa se l'account compromesso è quello dell'amministratore di un account aziendale.

Per condurre l'attacco, l'hacker sostituisce tutte le richieste HTTPS (e, quindi, crittografate) con altrettante richieste HTTP (non crittografate), una tecnica nota come SSL stripping.

Su LinkedIn, il login è effettuato via SSL, in modo che nome utente e password siano crittografati; il resto della navigazione avviene però generalmente senza la crittografia, un canale in cui un Man-in-the-middle può inserirsi e intercettare le comunicazioni, applicando poi lo stripping alle richieste HTTPS.

Fortunatamente, a partire dallo scorso dicembre il social network ha iniziato la transizione a HTTPS, giungendo a servire in questo modo tutti gli utenti statunitensi ed europei; restano ancora fuori, però, tutti coloro che risiedono in altri Paesi.

Qui sotto, il video che dimostra l'attacco.