Facebook vá lỗ hổng cho phép reset mật khẩu tài khoản người dùng bất kỳ

[Ginny Hà]

Facebook vừa trao tặng 15.000USD cho chuyên gia Prakash (Ấn Độ) về việc phát hiện ra cách đơn giản để reset mật khẩu tài khoản người dùng. Chuyên gia này sau đó đã giúp Facebook vá lỗi trước khi lỗ hổng bị tin tặc khai thác.

Nguy cơ của lỗ hổng là cho phép tin tặc tấn công brute-force (dò mật khẩu) trên form khôi phục mật khẩu. Tuy nhiên, lỗ hổng không tồn tại trên site chính của Facebook mà tồn tại trên site Beta. Trang chính của mạng xã hội khổng lồ Facebook được bảo vệ khỏi những hình thức tấn công tự động.

Cơ chế reset mật khẩu có thể bị khai thác

Khi người dùng quên mật khẩu Facebook của mình, họ sẽ phải điền vào một form thông tin địa chỉ email hoặc số điện thoại liên kết tới tài khoản Facebook.

Sau khi nhập một trong 2 thông tin đó, người dùng sẽ được gửi một mã gồm 6 ký tự qua SMS. Người dùng sau đó phải nhập đoạn mã vào form reset mật khẩu mới có thể truy cập vào trang đổi mật khẩu.

Nếu ai đó cố đoán đoạn mã 6 ký tự này trên trang chính Facebook (Facebook.com) thì sẽ bị block không truy cập được trang sau 10 – 12 lần nhập sai.

Lỗ hổng trên trang Beta của Facebook

Chuyên gia Prakash đã phát hiện ra lỗ hổng trong cơ chế bảo vệ brute-force trên nền tảng beta của Facebook (Beta.facebook.com). Trang này là nơi mà các tính năng của Facebook được test trước khi đưa ra nền tảng chính. Facebook cũng cung cấp trang này cho những người dùng muốn dùng trước các tính năng mới nhất của mình.

Thông qua sử dụng một công cụ dò mật khẩu đơn giản, Prakash có thể truy cập vào màn hình reset mật khẩu - nơi cần nhập đoạn mã 6 ký tự.

Chuyên gia sau đó thử toàn bộ sự kết hợp các ký tự cho đến khi đoán chính xác 6 ký tự. Bởi trang Beta của Facebook không được thiết lập để chặn những người dùng gõ sai mã 10-12 lần, Prakash có thể reset mật khẩu của tài khoản của chính mình và hoàn toàn có thể làm tương tự với những tài khoản người dùng khác. Điều kiện cần duy nhất đối với tin tặc là biết số điện thoại hoặc địa chỉ email liên kết tới tài khoản của nạn nhân mà mình nhắm tới.

Lỗ hổng được Prakash phát hiện ngày 22/2, và thông báo cho Facebook. Sau đó mạng xã hội khổng lồ đã vá lỗ hổng này.

Theo Softpedia​