Hlavní navigace

Dvoufaktorovou autentizaci Twitteru může útočník vypnout

 Autor: Twitter
Daniel Dočekal

Dodatečné, roky očekávané, zabezpečení přihlašování na Twitteru lze bez problémů obejít. F-Secure upozorňuje na vážnou chybu v implementaci

Twitter se po mnoha letech a vlně hacknutých účtů rozhodl nasadit klasickou dvoufaktorovou  autentizaci založenou na využití mobilního telefonu a posílání SMS (viz Twitter zavedl bezpečnější přihlášení přes SMS, není ale pro všechny). Což by mohla být dobrá zpráva, kdyby se Twitteru nepodařilo tuto funkčnost nasadit se zásadní chybou.

Útočník může vypnout dodatečné zabezpečení prostě tak, že pošle SMS s podvrženým číslem s požadavkem STOP. Tento požadavek vede k odstranění mobilního čísla, které slouží pro dodatečné ověření. A odstraněním čísla se samozřejmě vše vypne.

Paradoxně je možné udělat i opak. F-Secure upozorňuje, že útočník může k vašemu účtu na Twitteru přidat vlastní telefonní číslo. Což ve výsledku povede k tomu, že k vašemu účtu na Twitteru se už nedostanete.

Někdo zjevně nedomyslel dostatečně všechny varianty. Naštěstí pro nás v Česku (které Twitter, stejně jako Slovensko, ignoruje a tweetujeme z Německa, Polska či Rakouska) není tento vážný nedostatek nebezpečný. Dvoufaktorová autentizace pro Česko není dostupná. Je totiž založená na národním čísle, které Twitter používá pro zasílání tweetů už dlouhé roky.

Zdroj: Twitter's 2FA: SMS Double-Duty

Našli jste v článku chybu?
DigiZone.cz: Kanál TA3 HD zahájil vysílání

Kanál TA3 HD zahájil vysílání

DigiZone.cz: Česká televize mění schéma ČT :D

Česká televize mění schéma ČT :D

Root.cz: Nová třída SD karet A1 s vysokým výkonem

Nová třída SD karet A1 s vysokým výkonem

Root.cz: Mirai má nový cíl 5 milionů routerů

Mirai má nový cíl 5 milionů routerů

Vitalia.cz: Analýza letáků: Na co lákají do prodejen?

Analýza letáků: Na co lákají do prodejen?

Vitalia.cz: Jsou čajové sáčky toxické?

Jsou čajové sáčky toxické?

Měšec.cz: Kdy vám stát dá na stěhování 50 000 Kč?

Kdy vám stát dá na stěhování 50 000 Kč?

120na80.cz: Rovnátka, která nejsou vidět

Rovnátka, která nejsou vidět

Root.cz: Kamery Sony se dají ovládnout na dálku

Kamery Sony se dají ovládnout na dálku

Měšec.cz: Stavební spoření: alternativa i pro seniory

Stavební spoření: alternativa i pro seniory

Měšec.cz: Vklad na cizí účet je draze zpoplatněn (přehled)

Vklad na cizí účet je draze zpoplatněn (přehled)

Podnikatel.cz: Chtějte údaje k dani z nemovitostí do mailu

Chtějte údaje k dani z nemovitostí do mailu

Vitalia.cz: Když přijdete o oko, přijdete na rok o řidičák

Když přijdete o oko, přijdete na rok o řidičák

Podnikatel.cz: Daňové úlevy s EET nestačí. Budou zdražovat

Daňové úlevy s EET nestačí. Budou zdražovat

Měšec.cz: Air Bank zruší TOP3 garanci a zdražuje kurzy

Air Bank zruší TOP3 garanci a zdražuje kurzy

Podnikatel.cz: 3, 2, 1..EET startuje. Na co nezapomenout?

3, 2, 1..EET startuje. Na co nezapomenout?

120na80.cz: Stoná vaše dítě často? Upravte mu jídelníček

Stoná vaše dítě často? Upravte mu jídelníček

Měšec.cz: Sleva na dítě a manželku pro OSVČ je zpět. Ale..

Sleva na dítě a manželku pro OSVČ je zpět. Ale..

Měšec.cz: U levneELEKTRO.cz už reklamaci nevyřídíte

U levneELEKTRO.cz už reklamaci nevyřídíte

Root.cz: 250 Mbit/s po telefonní lince, když máte štěstí

250 Mbit/s po telefonní lince, když máte štěstí