так то ж британскому (tm) разработчику не понравилось, так-то понятно, что чудес не бывает06.04.12 11:34 Число просмотров: 1795 Автор: dl <Dmitry Leonov>
Британский разработчик Гарет Райт (Gareth Wright) обнаружил, что приложения, работающие с Facebook как под iOS, так и под Android, без должного трепета относятся к защите пользовательских данных. Началось с того, что он нашел в папке одного из приложений файл, в котором открытым текстом лежал выданный токен для доступа к Facebook (хэш, который используется приложениями после успешной авторизации, чтобы не терзать пользователя каждый раз вводом логина/пароля). Имея этот хэш, уже можно вытащить из Facebook некую интересную информацию, доступную приложению, с помощью запросов на FQL (Facebook Query Language).
Дальше все стало еще веселее - в каталоге родного приложения Facebook нашелся файл com.Facebook.plist, в котором лежал не просто токен, а целый OAuth-ключ с временем жизни аж до 1 января 4001 года. Копирования информации из этого файла...
А какие ещё варианты кроме хранения токена в стандартно отведённом для этого месте? Это такая же "уязвимость" как хранение браузером кукисов на диске в специальной папочке.
С ключом другое дело.
так то ж британскому (tm) разработчику не понравилось, так-то понятно, что чудес не бывает06.04.12 11:34 Автор: dl <Dmitry Leonov>
подробно о проекте
Анализ криптографических сетевых...
новое сообщение
закрытая нитка
новое сообщение
в закрытой нитке
старое сообщение
