Grave lacuna di Instagram 2FA rattoppata

Facebook ha avuto un programma di ricompensa di bug che consente ai ricercatori indipendenti di segnalare difetti di sicurezza da quasi un decennio. Solo di recente, un problema molto serio relativo alla sicurezza dell'account Instagram è stato corretto dopo che un ricercatore è riuscito a trovare un modo per forzare più o meno qualsiasi account Instagram e ottenere il controllo su di esso.

Il ritrovamento ha portato Laxman Muthiyah ad un premio di $ 30 mila. La gravità del problema che ha scoperto più che giustifica tale somma. Muthiyah ha scoperto un punto debole nella procedura di autenticazione a due fattori che si basa su un codice inviato al telefono cellulare del utente. Instagram genera un codice a sei cifre che Muthiyah ha deciso di forzare, ma ha scoperto che ci sarebbero circa un milione di combinazioni. unico problema era la finestra temporale limitata in cui era attivo il codice a sei cifre generato casualmente - Instagram mantiene il codice valido per soli dieci minuti.

Sfruttate le soluzioni alternative 2FA di Instagram

Per aggirare il problema della forza bruta e alimentare un milione di tentativi in un breve lasso di tempo, Instagram aveva un limite ai tentativi effettuati in una finestra temporale, ma che copriva solo un singolo indirizzo IP. Muthiyah ha sottolineato come i cattivi attori interessati al hacking di un account potrebbero abusare di un gran numero di account cloud che sono legittimamente offerti da servizi come Amazon o Google, oppure ricorrere a una rete prestabilita di sistemi hackerati, che è il caso di la maggior parte delle botnet.

attacco che Muthiyah è riuscito a montare ha utilizzato una configurazione di $ 150 di account cloud ed è stato registrato in video per il team di sicurezza di Instagram / Facebook, che da allora ha risolto il problema.

Questo tipo di vettore di attacco non è unico modo per gli hacker di aggirare autenticazione a due fattori. Ci sono stati casi di cattivi attori che reindirizzano la vittima a una falsa codepage 2FA, raccogliendo il codice inserito lì e quindi utilizzandolo per ottenere il controllo del account in questione.