Απολαβές 15.000 δολάρια για επιβράβευση(VIDEO)

Να παρακάμψει το μηχανισμό ασφαλείας του μεγαλύτερου κοινωνικού δικτύου Facebook και να διεισδύσει σε οποιονδήποτε λογαριασμό δηλώνοντας ότι έχει ξεχάσει τον κωδικό του, πέτυχε ινδός προγραμματιστής, που επιβραβεύτηκε από την ετιαρέια με 15.000 δολάρια.

Ο Άναντ Πρικάς,  με ειδικότητα στην ασφάλεια πληροφοριακών συστημάτων, διαπίστωσε ότι στους διακομιστές που φιλοξενούνται οι υπό δοκιμή ανανεωμένες υπηρεσίες του Facebook (beta.facebook.com και ένα ακόμα domain) δεν υπάρχει ο περιορισμός στον αριθμό των δοκιμών κατά την εισαγωγή ενός 6ψήφιου κωδικού που αποστέλλει η υπηρεσία μέσω e-mail ή SMS σε όσους δηλώνουν ότι ξέχασαν τα στοιχεία εισόδου τους στην υπηρεσία.

Ο λογαριασμός που χάκεψε ήταν ο δικός του, καθώς η πολιτική της υπηρεσίας για την επιβράβευση των προγραμματιστών που ενημερώνουν εγκαίρως την εταιρεία για κενά ασφαλείας πριν τα δημοσιοποιήσουν, προβλέπει ότι δεν πρέπει να προκληθεί οποιαδήποτε βλάβη σε λογαριασμό τρίτου για να δικαιούται την αμοιβή.

Κατάφερε λοιπόν να υποβάλλει τον μηχανισμό σε επίθεση brute-force, δηλαδή να αυτοματοποιήσει την εισαγωγή 6ψήφιων αριθμών στο πεδίο μέχρι να βρει τον σωστό.

Ο προγραμματιστής παρουσιάζει την μέθοδό του σε βίντεο στο vimeo -αφού προηγουμένως το YouTube το χαρακτήρισε spam και το κατέστησε μη διαθέσιμο.

Στο facebook.com, οι απόπειρες αυτές σταματούν όταν ξεπερνούν τις 10-12 αποτυχημένες προσπάθειες, σε δύο όμως διαφορετικά domain -beta.facebook.com και mbasic.beta.facebook.com- δεν υπήρχε αυτός ο περιορισμός και έτσι ο Άναντ κατάφερε να ορίσει νέο κωδικό για τον λογαριασμό.

Έτσι η εταιρεία που ενημερώθηκε για το σοβαρό κενό ασφαλείας στις 22 Φεβρουαρίου και αμέσως διόρθωσε το πρόβλημα, προχώρησε στις 2 Μαρτίου, στην καταβολή της αμοιβής στον Anand Prakash του ποσού των 15.000 δολαρίων, για τη "συνεισφορά" του.