Piratage de Facebook : aucune preuve d’accès aux applications tierces

[Laurence]

L'une des questions soulevées par le récent piratage Facebook, était l’utilisation des tokens d'accès, et, notamment, pour collecter des données ou fournir un accès à des applications tierces. Dans un CP officiel, le VP of Product Manager de Facebook, Guy Rosen, se veut rassurant. Il précise qu’une analyse approfondie a été effectuée sur les apps tierces installées ou connectées lors de l'attaque, utilisant le login de Facebook. Il indique ainsi que « cette enquête n'a jusqu'à présent trouvé aucune preuve que les pirates aient accédé à des applications via Facebook ».

Il reconnaît qu’il s’agit là d’un problème grave et précise que les équipes ont « travaillé rapidement pour protéger la sécurité des comptes des personnes et enquêter sur ce qui s’est passé ». Facebook a en effet corrigé la faille de sécurité et réinitialisé les tokens de 90 millions de comptes -les 50 millions directement touchés et 40 millions de comptes à risques. La réinitialisation a permis de protéger la sécurité des comptes des utilisateurs et leur a imposé de se reconnecter à Facebook et aux ensembles des apps utilisant le réseau.

Il rappelle d’ailleurs que les kits de développement logiciel Facebook officiels « sont automatiquement protégés » après une réinitialisation forcée. De plus, un outil est en cours de développement et permettra aux devs d'identifier les utilisateurs de leurs apps susceptibles d'avoir été affectés. Il en profite pour préciser que « la sécurité est extrêmement importante pour Facebook » et recommande l’utilisation des outils mis à disposition par le réseau.

Source

[fred33]

Les promesses n’engagent que ceux qui les croient. Encore une fois, Facebook n’a pas de garantie à donner. Ils annoncent des choses sans tiers de confiance pour valider leurs dires ce qui rend leur communication extrêmement faible de mon point de vue. Je ne suis pas certain qu’ils évaluent vraiment la perte de crédibilité d’affaire en affaire. Pas de fuite à leur connaissance, cela veut dire quoi ? Quelles sont les garanties avancées ? Avec quel cabinet d’audit ont-ils travaillés ?

[Rom54]

Ou il est question d'un immense foutage de gueule de l'utilisateur puisque par definition l'exploitation d'un token pour un accès frauduleux est... invérifiable.

Donc a chercher ce qui par definition est invisible on ne peut que declarer n'avoir rien vu!!!

Le probleme de securite est un problème structurel. N'importe quel cretin peut comprendre qu'une serrure qui s'ouvre avec plusieurs clés ne garantie aucune securite, et pire encore ne permet pas de savoir qui a ouvert...

C'est le probleme des applications tierces. Même frauduleux et détournes les accès qu'elles donnent sont toujours vu comme légitimes.
Tant que le malfaisant n'a pas saccage, vole ou mis le feu, rien ne permet de mettre en evidence ce qu'il a fait...
Dans le cas present, des tonnes de donnees ont pu etre copie, il n'y a pas la moindre trace. Et ca chez Facebook ils le savent bien.