Der belgische Sicherheitsforscher Arne Swinnen hat im Rahmen von Facebooks Instagram Bug Bounty Program zwei kritische Sicherheitslücken entdeckt. Begünstigt durch Instagrams schwache Passwortrichtlinie war er in der Lage, per Brute Force die Passwörter von Nutzern des Bilderdiensts zu knacken. Facebook hat die Schwachstellen inzwischen geschlossen.
Der erste Fehler steckte in Instagrams mobilem Anmeldeverfahren. Mit der Sicherheitssoftware Burp konnte der Forscher mit einer IP-Adresse 1000 Passwörter für einen Nutzernamen testen, bevor er eine Fehlermeldung der mobilen Instagram-App erhielt. Allerdings lieferten nur die nächsten 1000 Versuche die Meldung „User not found“. Ab dem 2001. Versuch meldete Instagram abwechselnd, ob das Passwort richtig oder falsch ist oder erneut „User not found“.
„Das erlaubte einen zuverlässigen Brute-Force-Angriff“, schreibt Swinnen in seinem Blog. Der Angriff sei zudem durch fehlende Sicherheitsmaßnahmen wie eine standortbasierte Betrugserkennung anhand von IP-Adressen begünstigt worden. Außerdem sei Instagrams Passwortrichtlinie zu schwach und die im Februar angekündigte Anmeldung in zwei Schritten sei immer noch nicht weltweit verfügbar.
Die neuen HPE-Server der Generation 10 bieten einen erweiterten Schutz vor Cyberangriffen. Erfahren Sie in unserem Webinar, warum HPE-Server die sichersten Industrie-Standard-Server der Welt sind und wie Sie ihr Unternehmen zu mehr Agilität verhelfen. Jetzt registrieren und Aufzeichnung ansehen.
Darüber hinaus erlaubte auch das webbasierte Anmeldeverfahren Brute-Force-Angriffe. Hier analysierte Swinnen die Anfrage, die sein Browser bei der Registrierung eines Kontos an Instagram schickte, sowie die Antwort des Servers. Das erlaubte es ihm, beliebige Kombinationen aus Nutzernamen und Passwörtern an die Instagram-Server zu schicken, die schließlich jede Anfrage entweder mit einer Fehlermeldung oder der Meldung „Diese Anmeldedaten gehören zu einem aktiven Instagram-Konto“ beantworteten.
Die Bugs übermittelte Swinnen Ende Dezember beziehungsweise Anfang Februar an Facebook. Sie wurden am 11. sowie am 13. Februar behoben. Allerdings bot der Fix für die zweite Lücke keinen effektiven Schutz vor Swinnens Angriff. Ein neuer Patch wurde von Facebook schließlich am 10. Mai implementiert, den Swinnen in der vergangenen Woche bestätigte. Seine Arbeit belohnte Facebook mit einer Prämie von insgesamt 5000 Dollar.
[mit Material von Charlie Osborne, ZDNet.com]
Tipp: Sind Sie ein Facebook-Experte? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.
Bankhaus Metzler und Telekom-Tochter MMS testen, inwieweit Bitcoin-Miner das deutsche Stromnetz stabilisieren könnten.
Mit 1,7 Exaflops ist El Capitan nun der dritte Exascale-Supercomputer weltweit. Deutschland stellt erneut den…
Der deutsche Hyperscaler erweitert sein Server-Portfolio um vier Angebote mit den neuen AMD EPYC 4004…
Beim Online-Gaming kommt es nicht nur auf das eigene Können an. Auch die technischen Voraussetzungen…
Fast jedes zweite Unternehmen bietet keinerlei Schulungen an. In den übrigen Betrieben profitieren oft nur…
Huawei stellt auf der Connect Europe 2024 in Paris mit Xinghe Intelligent Network eine erweiterte…