Kerosakan keselamatan Instagram membolehkan penyerang menghapus foto dan mengambil alih akaun

Instagram mungkin menjadi aplikasi perkongsian foto yang paling popular dan paling digunakan untuk kedua-dua platform iOS dan Android tetapi sama seperti aplikasi lain, ia tidak sempurna. Sebenarnya, kelemahan baru telah ditemui baru-baru ini. Menurut pakar, kecacatan keselamatan Instagram baru mungkin membolehkan penyerang memotong foto atau mengambil alih akaun. Kelemahan itu telah ditemui dalam versi Instagram 3.1.2 yang dijalankan pada peranti iOS.

API Instagram menggunakan kedua-dua HTTP dan HTTPS sambungan untuk menghantar permintaan dan data. Maklumat sensitif seperti data penyuntingan profil dan kelayakan login sering dihantar melalui HTTPS kerana ia adalah saluran yang dijamin. Tetapi ia telah ditemui baru-baru ini oleh orang-orang di reventlov.com bahawa sesetengah data sebenarnya dihantar menggunakan saluran lain yang membuat terdedah kepada eksploitasi oleh beberapa penyerang yang mungkin mengetahui kelemahan itu.

Sekiranya data dihantar melalui saluran HTTP, satu-satunya bentuk pengesahan yang diperlukan adalah cookie standard yang sering dihantar tanpa penyulitan setiap kali pengguna memulakan aplikasi Instagram. Penyerang yang mungkin berada di rangkaian yang sama dengan iPhone atau iPad mungkin dapat memintas data melalui serangan arpspoofing mudah dan boleh mengeksploitasi maklumat itu dengan keinginan mereka. Jika ia berlaku dan penyerang mungkin dapat mengesahkan menggunakan maklumat yang dicegat, mereka sudah mempunyai akses muktamad ke akaun tersebut dan mereka boleh mengubah bukti kelayakan log masuk pada bila-bila masa atau memadam foto.

Orang-orang yang telah menemui kesilapan itu menjadikannya awam pada 10 November dan mereka menghubungi Instagram mengenainya sehari kemudian tetapi semua yang mereka dapat ialah tindak balas automatik. Sehingga kini, isu ini mungkin masih berterusan sehingga pemilik peranti iOS yang mungkin menggunakan Instagram lebih kerap menggunakan saluran HTTPS sepanjang masa, atau tidak menggunakan hanya jalur akses WiFi terbuka.

Isu ini mungkin hanya berkaitan dengan Instagram tetapi lebih kerap, penyerang tahu dengan tepat apa yang boleh didapati untuk mendapat akses ke akaun lain termasuk Facebook, Twitter dan juga e-mel. Langkah berjaga-jaga harus diambil terutama oleh orang yang mungkin menyimpan beberapa data sensitif pada peranti mereka.

[sumber: Reventlov]