Piotr Konieczny

Blip podatny na atak SMS Spoofing

Jak się okazuje, nasz rodzimy Blip całkiem dobrze kopiuje swój pierwowzór, czyli Twittera ;-) Niestety, Blip kopiuje także luki...

Dziś w Twitterze załatano możliwość podszycia się pod dowolnego użytkownika serwisu i przejęcia jego konta (w Blipie dziura nadal jest). Aby zrobić takie straszne rzeczy, wystarczyło tylko znać numer telefonu, który użytkownik zarejestrował w serwisie - tu świetnie sprawdzą się takie serwisy jak MySpace, czy Facebook (a w przypadku Blipa, Nasza-Klasa i GG dadzą radę ;)

SMS w Blipie i Twiterze

Dzięki zarejestrowaniu swojej komórki w systemie, użytkownik Twittera/Blipa może z niej wysyłać SMS-y na specjalny twitterowy numer. Treść SMS-a trafia wtedy na profil użytkownika. W treści SMS-a można także używać komend, które pozwalały np. dodawać/usuwać przyjaciół, etc. (Blip komend chyba nie wspiera).

Atak SMS Spoofing

Atak polega na spreparowaniu wiadomości SMS. Jako nadawcę (SenderID) należy ustawić numer telefonu atakowanego użytkownika, a następnie przesłać wiadomość na numer dostępowy Twittera.

Spoofing jest o tyle prosty, że w sieci istnieją darmowe bramki, pozwalające robić takie cuda za grosze - a czymże jest nawet 10EUR, jeśli w profilu swojego kumpla z pracy można napisać, że jego idolem jest Rysiu z Klanu ;)

Żarty żartami, ale lukę można też wykorzystać do przesyłania URL-a prowadzącego do strony z malwarem. Dostaną go wszyscy znajomi ofiary i to nie tylko na Twitterze/Blipie, ale także na serwisach takich jak Friendfeed lub Flaker, czy innych socjalnych ustrojstwach, karmionych treściami z konta użytkownika.

Jak się obronić?

Autorzy Blipa zostali powiadomieni o luce. Do czasu jej załatania, sugeruję wyrejestrować swój numer telefonu z serwisu. Jak Marcin i spółka uporają się z błędem, pokażę w nowym wpisie, jak ustawić Sender ID w wiadomości SMS. (Ostrzegam, że jeśli ktoś przed załataniem Blipa zapostuje sposób w komentarzach - bez mrugnięcia komcia wymoderuję ;-)

Kto następny?

Na SMS Spoofing najprawdopodobniej podatne są także inne serwisy, w których można zarejestrować swój telefon, by wykonywać nim jakieś akcje. Znacie takie?

No, i o takich fajnych rzeczach wie się z pierwszej ręki, jak się śledzi moje konto na blipie - można przez RSS ;-)


Zobacz także: (podobne wpisy BETA!):
-- Jak zawiesić Nokie/Symbiana jednym SMS-em?

• Następny post: Atakowanie bankomatów w tę sobotę w Krakowie
• Poprzedni post: Trojan na Mac OS X

Chcesz być informowany o kolejnych wpisach na ten temat?
Kanał RSS: kliknij tutaj. Subskrybcja poprzez e-mail: kliknij tutaj.