200.000.000 Account Passport A Rischio Di Falsificazione
La sicurezza non è un optional. Lo so che non ne potete più dei miei soliti consigli e “scoperte” ma dovete sopportare pure questa.
Come ben sapete, Microsoft ha creato il servizio Passport. Tale servizio è nato – almeno nell’idea originale – per far si che gli internauti si iscrivessero e potessero usare gli stessi dati (username e password) su una molteplicità di siti.
Se avete la memoria lunga ricorderete, ad esempio, che anche Ebay si appoggiava, accanto all’iscrizione “regolare” al suo portale, anche a Passport.
Oggi, Passport risulta essere usato principalmente nei siti Microsoft, che propone una “chiave unica”, vale a dire un solo username e password per accedere a tutti i suoi servizi.
Proprio l’utilizzo in vari siti fa si che la presenza di un bug di sicurezza in uno di questi comprometta la sicurezza degli altri.
Microsoft durante il log-in salva nel PC del visitatore un “cookie” che lo identifichi per le prossime entrate.
Mediante un bug da me scoperto nella versione francese (e già ho detto molto) di MSN posso facilmente, in un minuto circa, come hanno visto svariati giornalisti che mi hanno chiesto una dimostrazione pratica, rubare il cookie di un utente Passport per poi riutilizzarlo per sostituirlo al mio e, pertanto, identificarmi come il proprietario.
Se consideriamo che gli account Passport sono circa 200.000.000 (numero account Hotmail, anche se di fatto il numero è pressoché coincidente), posso affermare che 200.000.000 clienti di Microsoft sono a rischio di frode dell’account.
Purtroppo per la gravità del bug e dei possibili usi, finché la falla non viene corretta da Microsoft mi auto-censuro, non rilasciando altri dettagli, per evitare applicazioni non proprio a titolo di studio. Il bug da me scoperto è di tipo XSS.
Con questa nota premo affinché le varie testate segnalino la presenza di tale vulnerabilità, consigliando ai propri lettori di disattivare Javascript, per evitare di far incappare i propri lettori in frodi di identità.
ciao salvo 6 1 genio
Carissimo HACKER e CRACKE onnipotente,
suhttp://www.net-force.nl/files/articles/hotmail_xss/ si citahttp://ilovemessenger.msn.com, io parlo di msn.fr!
Ode a Hacker-Cracker
Salvatore Aranzulla
Ciao salvatore..la tua scoperta non è stata tua..ma di questa persona..http://www.net-force.nl/files/articles/hotmail_xss/
hai fatto delle ricerche e ti sei preso il merito…
NON CANCELLARE QUESTO COMMENTO ALTRIMENTI SEI UN VIGLIACCO….CIAO CIAO !!!
W SALVO!
Non capisco perche’ non puoi lasciare il EXPLOIT, ci sono errori ben piu’ grandi che “CI SONO GLI EXPLOIT INGIRO” e questo non mi sembra cosi GRAVE… sinceramente… non mi sembra che hai scoperto “L’ACQUA CALDA” anche perche’non e’ per toglierti nessn merito per carita’, non dico che non sei bravo ripeto.Ma penso che il Exploit potresti metterlo! anche perche’ penso che c’e’ molta gente brava che potrebbe scoprire come “RISOLVERE” quel problema!.
Ciao!
Ciao! Concordo con “nazionlinux” e “Maurizio”.
1- Scusa come hai fatto a prende il cookie?
richiedendo info su una pagina del tuo server?
2- Per i giornalisti… si è vero…
sopratutto conoscono bene le “paroline” e quindi
sta attento ad usare termini tipo “rubare” …
spesso, se la girano come vogliono!
cit.:
“…rubare il cookie di un utente Passport per…”
Ciao! Attendo delucidazioni in merito se puoi darmerle. :)
Bravissimo, ma attento ai giornalisti… moltissimi di essi sanno essere persone molto viscide (esperienza).
Non intendo per la dimostrazione, su quella vai tranquillo, ma attento che spesso e volentieri scrivono quello che fa loro comodo e non come stanno le cose.
“…come hanno visto svariati giornalisti che mi hanno chiesto una dimostrazione pratica,…”
dacci una dimostrazione, o bisogna essere un giornalista? fai dimostrazioni solo a determinate categorie o anche a noi pizzettari un giorno ci farai sapere qualcosa?
Il sapere è universale.
Comunque libero di non rivelare, come la microsoft di non aprire il codice
ehehe….sta cosa gira da un pò…
complimenti per la scoperta ma soprattutto per la responsabilità della non rivelazione. Si è fatta viva Microsoft?
ecco come avevano fatto a fotterti l’email gli staralo
Salvatore Aranzulla
Da visitare solo in presenza di un adulto, può avere riscontri negativi sulla crescita
…
salvo devo ammettere che hai fatto un bel lavoro ,acnche io conosco il bug da un po di tempo ,tu come hai fatto a scopririlo ?x caso te l’ha spifferati qualcuno?
Ciao Salvo! Con il tuo articolo sei andato anche in onda su Radio Palace Italiano, una semplice web radio legata ad una chat ed un forum!
Se prossimamente vorrai essere ospite del mio programma, tramite msn, sarai il benvenuto! Penso che con un 56k dovresti riuscire a comunicare con il servizio audio? Speriamo! Ciao e complimenti!
E coe sempre il nostro Salvo scopre un’altra menata made in Microsoft che mette a rischio le nostre informazioni personali. Grazie Salvo, ti han dato proprio il nome giusto :*
Ma già che ci sei, siccome hai scoperto che uno dei più grossi servizi di e-mail del mondo é buggatissimo, ci consiglieresti qualcosa di sicuro?