Этот простой взлом может захватить более 1 миллиарда аккаунтов Android-приложений

Короткие байты Три исследователя из Китайского университета Гонконга отсканировали несколько приложений Google в магазине приложений для США и Китая и обнаружили серьезную уязвимость. Этот недостаток заключается в том, как OAuth 2.0 реализован в этих приложениях. Из-за неправильных действий хакер может удаленно использовать приложение жертвы и получить доступ к личной информации.

Группа исследователей из Гонконга нашла метод, позволяющий без особых усилий атаковать многочисленные учетные записи мобильных приложений. Они сказали, что эти приложения были загружены более 1 миллиарда раз.

Ronghai Yang, Wing Cheong Lau и Tianyu Liu из Китайского университета Гонконга рассмотрели 600 самых популярных приложений для Android в США и Китае. Из них 182 приложения, то есть 41 процент от общего числа, поддерживают единый вход.

Исследователи смогли обнаружить проблемы, связанные с OAuth 2.0. Для тех, кто не знает, это стандарт, который позволяет пользователям проверять свои логины в сторонних приложениях, используя учетные записи Google или Facebook.

В чем проблема с OAuth 2.0, который подвергает риску приложения?

Обычно, когда пользователь входит в какую-либо службу с помощью OAuth, приложения выполняют полную проверку с поставщиком идентификаторов, например с Google, Facebook и т. Д. Если данные совпадают, OAuth получает маркер доступа от поставщика идентификаторов. Это позволяет приложению / службе разрешить пользователю входить в систему, используя свои учетные данные Facebook или Google.

Wing Cheong Lau, один из исследователей, сказал, что, хотя ошибка является довольно простой, воздействие может быть серьезным. Протокол OAuth довольно сложен », - сказал он Forbes. «Многие сторонние разработчики являются магазинами ma и pa, у них нет такой возможности. Большую часть времени они используют рекомендации Google и Facebook, но если они не сделают это правильно, их приложения будут широко открыты ».

Считаете ли вы эту статью полезной? Не забудьте оставить свой отзыв в разделе комментариев ниже.