Sigurnosni propust u Facebookovoj aplikaciji automatiziranog slanja poruka u novogodišnjoj noći

Facebook, najpopularnija društvena mreža na svijetu, objavila je prije nekoliko dana da će korisnicima omogućiti slanje automatiziranih poruka u novogodišnjoj noći. Ipak, aplikacija je povučena zbog sigurnosnog propusta koji omogućava bilo kome da vidi, pa čak i da izbriše osobne poruke namijenjene drugim korisnicima.

Facebookova nova aplikacija pod nazivom "Stories" trebala nam je omogućiti da pošaljemo predefinirane novogodišnje čestitke odabranim prijateljima koje će im biti uručene točno u ponoć.

Midnight Message Delivery, odnosno ponoćna isporuka poruka je upravo ono što je trebalo mnogim korisnicima, posebice ako se uzme u obzir da su za vrijeme blagdana kao što je Nova godina, mobilne mreže jako opterećene milijunima ljudi koji pokušavaju svojim najmilijima istodobno poslati čestiku.

Sve je zakomplicirao jedan student bloger koji je primijetio da jednostavni "tweak" URL-a na vrhu stranice omogućuje korisnicima pristup do poruka koje su napisane potpunim strancima - pa ih čak mogu i izbrisati.

Student Jack Jenkins otkrio je sigurnosni propust na Facebookovom Midnight Message Delivery sustavu na svom blogu na kojem je među ostalim napisao:

''Facebook nije bio naročito svjestan sigurnosti kada je ovo postavljao gore. Jednostavnom manipulacijom ID-a na kraju URL-a poslane poruke na FacebookStories webstranici, moći ćete vidjeti 'Happy New Year' poruke drugih korisnika".

Jenkins je napisao da je ček mogao vidjeti i slike koje su ljudi slali jedni drugima.

Kako je to bilo moguće? Kada korisnik pošalje prijateljima svoju poruku, dobija potvrdu s linkom tipa: http://www.facebookstories.com/midnightdelivery/confirmation?id=XXXXX. Odavde svatko tko jednostavno promijeni ID varijablu u URL-u koja se nalazi na kraju web adrese može imati pristup porukama drugih ljudi.

Glasnogovornik Facebooka potvrdio je da su u Facebooku svjesni ovog propusta i da ubrzano rade kako bi ga otklonili.

Zasada je ova aplikacija onemogućena na Facebook Stories stranici.