Dopo un anno gli account sono ancora a rischio.
[ZEUS News - www.zeusnews.it - 21-06-2014]
È passato oltre un anno da quando Zimperium ha scoperto una seria vulnerabilità in LinkedIn, sfruttando la quale un malintenzionato può ottenere il controllo completo su un profilo altrui.
Ci si aspetterebbe che ormai tale problema sia stato ampiamente risolto e invece ancora oggi, 12 mesi e 6 solleciti dopo, la falla resta aperta.
Un semplice attacco Man-In-The-Middle permette di intercettare le credenziali di un utente mentre queste vengono trasmesse: l'indirizzo email, la password, i messaggi letti e inviati, le connessioni e gli utenti che hanno visualizzato il profili sono le informazioni a cui si ha accesso.
Una volta entrato nel profilo, l'hacker può poi sbizzarrirsi e fare ciò che vuole; si tratta di una libertà ancora più pericolosa se l'account compromesso è quello dell'amministratore di un account aziendale.
Per condurre l'attacco, l'hacker sostituisce tutte le richieste HTTPS (e, quindi, crittografate) con altrettante richieste HTTP (non crittografate), una tecnica nota come SSL stripping.
Su LinkedIn, il login è effettuato via SSL, in modo che nome utente e password siano crittografati; il resto della navigazione avviene però generalmente senza la crittografia, un canale in cui un Man-in-the-middle può inserirsi e intercettare le comunicazioni, applicando poi lo stripping alle richieste HTTPS.
Fortunatamente, a partire dallo scorso dicembre il social network ha iniziato la transizione a HTTPS, giungendo a servire in questo modo tutti gli utenti statunitensi ed europei; restano ancora fuori, però, tutti coloro che risiedono in altri Paesi.
Qui sotto, il video che dimostra l'attacco.
Se questo articolo ti è piaciuto e vuoi rimanere sempre informato con Zeus News
ti consigliamo di iscriverti alla Newsletter gratuita.
Inoltre puoi consigliare l'articolo utilizzando uno dei pulsanti qui
sotto, inserire un commento
(anche anonimo)
o segnalare un refuso.
© RIPRODUZIONE RISERVATA |
|
|
||
|