Billeder kan stjæle din Facebook-profil

Ved at kombinere en billedfil med Java har udviklere fundet en metode til at stjæle brugeroplysninger fra populære websider som Facebook, hvor brugerne uploader billeder.

Af Robert McMillan

Publiceret d. 4. august 2008 kl. 09.00

Send

Annonce:

ANNONCE:

Indholdsfortegnelse:

Billeder kan stjæle din Facebook-profil

Sådan foregår angrebet

Sådan undgås angrebet

Computerworld News Service: På Black Hat-sikkerhedskonferencen i Las Vegas i denne uge vil udviklere fra blandt andet Ernst & Youngs Advanced Security Center og NGS Software fremvise et stykke software, der potentielt kan stjæle online-brugerdata fra populære websider som Facebook, eBay og Google.

Software-angrebet er baseret på en ny type af hybrid-fil, der minder om forskellige ting i forskellige programmer. Ved at lægge disse filer ud på websider, der lader brugerne uploade egne billeder, kan man omgå sikkerhedssystemerne og overtage brugernes konti på disse sider.

"Vi har været i stand til at udvikle en Java-applikation, der er et billede," siger John Heasman, vice president for research hos NGS Software.

Filtypen kaldes GIFAR, en sammentrækning af de to benyttede filtyper, GIF (graphics interchange format) og JAR (Java Archive).

På Black Hat-konferencen vil udviklerne vise, hvordan man kan lave en GIFAR-fil, et par nøgleelementer udelades dog så filtypen ikke kan bruges umiddelbart i et stort angreb.

For en web-server vil GIFAR-filen ligne en .gif-fil på en prik, men browserens Java virtual machine vil åbne den som JAR-fil og køre den som en applikation. Det giver angriberen en mulighed for at køre Java-kode i offerets browser, der behandler den skadelige applikation, som om den var skrevet af websidens udviklere.

Fortsættes ...

« forrige side

1 2 3

næste side »