Facebook: scoperta vulnerabilità nelle “access tokens” delle applicazioni

Utilizzate Facebook? Utilizzate le applicazioni di Facebook? Allora occhio a questo post. Proprio ieri pomeriggio un annuncio di Symantec ha messo in pessima luce il colosso di Zuckerberg: secondo la nota software house, esperta in sicurezza, una vulnerabilità nel meccanismo delle chiavi d’accesso delle applicazioni scritte in FBML potrebbe mettere in serio pericolo i dati personali di chi le utilizza.

Cercherò di semplificare ciò che, in pratica, succede:

• Ad ogni sviluppatore, in fase di creazione dell’applicazione, Facebook fornisce delle chiavi d’accesso (cosiddette access tokens) per associare l’applicazione ad un certo set di permessi
• L’utente dell’applicazione, nel momento in cui visita una pagina del tipo http://www.facebook.com/nome_applicazione, deve autorizzare l’applicazione all’utilizzo di un certo numero di dati personali perchè l’applicazione funzioni e venga adeguatamente “modellata”
• L’access token viene associata al profilo dell’utente rendendo così disponibili i dati di cui fa richiesta
• Qui casca l’asino: tramite delle richieste HTTP ben mirate (e, ad oggi, inconsapevoli) l’applicazione suddetta potrebbe accedere ai dati personali del malcapitato utente anche se questi è completamente offline da Facebook, permettendo non solo l’accesso a suddetti dati, ma anche la modifica della pagina Facebook dell’utente (pubblicazione di post, invio di messaggi di chat e via discorrendo). Tutto questo perchè, in teoria, una delle chiavi d’accesso associate all’applicazione dovrebbe “scadere” ed essere invalidata all’atto del logout, ma ciò non avviene.

Fino ad oggi non ci sono stati danni, visto che gli ignari sviluppatori erano completamente all’oscuro di questo meccanismo. La scoperta (e la pubblicazione di Symantec) però potrebbe “aguzzare l’ingegno” di qualche sviluppatore malizioso che non ha niente di meglio da fare che rompere le scatole al prossimo.

Nonostante la modifica al protocollo di autenticazione all’interno delle applicazioni di Facebook (OAUTH 2.0+HTTPS), che diverrà completa entro il mese di Settembre, ci sono ancora decine di migliaia di applicazioni che utilizzano il vecchio protocollo, soffrendo inevitabilmente di questo bug.

Occhio, però: le access token malate, in questo caso, vengono rese invalide da un cambio di password. E, se non avete ancora cambiato password al vostro account, direi che è arrivato il momento di farlo, ed anche presto, onde evitare spiacevoli sorprese.

Potrete trovare informazioni più approfondite riguardo a questa vulnerabilità sul blog di Symantec.

Come si suol dire: The dark side of the moon…