นักวิจัย: ข้อบกพร่องของ Twitter ทำให้แอพพลิเคชันของบุคคลที่สามได้รับอนุญาตให้เข้าถึงข้อความส่วนตัว หรือโทรศัพท์มือถือโดยใช้บัญชี Twitter ของตนอาจทำให้แอพพลิเคชันเหล่านี้สามารถเข้าถึงข้อความส่วนตัวของตนได้โดยไม่ต้องรู้เรื่องนี้ตาม Cesar Cerrudo ประธานเจ้าหน้าที่ด้านเทคโนโลยีของ IOActive บริษัท ที่ปรึกษาด้านความปลอดภัย

ปัญหานี้เป็นผลมาจากการที่แอพพลิเคชันเว็บหรือโทรศัพท์มือถือใช้บัญชี Twitter ของตน ข้อบกพร่องใน Twitter ของ API (อินเตอร์เฟซการเขียนโปรแกรมประยุกต์) ที่นำไปสู่ผู้ใช้ไม่ได้รับทราบอย่างถูกต้องเกี่ยวกับสิ่งที่สิทธิ์โปรแกรมจะมีใน accou ของพวกเขา เมื่อได้รับสิทธิ์เข้าถึงแล้ว Cerrudo อธิบายปัญหานี้และอธิบายว่าเขาค้นพบบทความนี้ในโพสต์บล็อกที่เผยแพร่เมื่อวันอังคาร

แอปพลิเคชันที่อนุญาตให้ผู้ใช้เข้าสู่ระบบด้วยบัญชี Twitter ต้องลงทะเบียนด้วย Twitter ที่ //dev.twitter.com/apps ในระหว่างการลงทะเบียนนักพัฒนาซอฟต์แวร์ต้องประกาศระดับการเข้าถึงแอปพลิเคชันในบัญชีของผู้ใช้: "อ่านอย่างเดียว" "อ่านและเขียน" หรือ "อ่านเขียนและเข้าถึงข้อความโดยตรง"

[อ่านเพิ่มเติม: เพื่อลบมัลแวร์จากคอมพิวเตอร์ที่ใช้ Windows ของคุณ]

เมื่อผู้ใช้พยายามเข้าสู่แอพพลิเคชันดังกล่าวเป็นครั้งแรกโดยใช้บัญชี Twitter พวกเขาจะเปลี่ยนเส้นทางไปยังหน้าการให้สิทธิ์บนเว็บไซต์ Twitter ซึ่งระบุสิทธิ์ที่ร้องขอโดยแอปพลิเคชันเฉพาะ

Cerrudo กล่าวว่าเขาค้นพบปัญหานี้ในขณะที่เขากำลังทดสอบแอพพลิเคชั่นที่พัฒนาขึ้นโดยเพื่อนคนหนึ่งที่ได้รับอนุญาตให้อ่านข้อความเขียนและเข้าถึงข้อความโดยตรงด้วย Twitter

เมื่อเขาเซ็นสัญญากับ Twitter เขาถูกเปลี่ยนเส้นทางไปยังหน้าการให้สิทธิ์ที่แจ้งให้เขาทราบว่าแอปพลิเคชันจะสามารถอ่านทวีตจากช่วงเวลาของเขาดูผู้ใช้ที่เขาติดตามติดตามผู้ใช้ใหม่ในนามของเขาอัปเดตโปรไฟล์โปรไฟล์ของเขา ormation และโพสต์ tweets ในนามของเขาเขากล่าวว่า หน้าเว็บระบุว่าแอพพลิเคชันไม่สามารถเข้าถึงข้อความตรงหรือรหัสผ่านของบัญชีได้

"หลังจากดูหน้าเว็บที่แสดงแล้วฉันเชื่อว่า Twitter จะไม่ให้สิทธิ์การเข้าถึงรหัสผ่านและข้อความตรงของฉัน" เขากล่าว เขียนไว้ในบล็อก "ฉันรู้สึกว่าบัญชีของฉันปลอดภัยแล้วดังนั้นฉันจึงลงชื่อเข้าใช้และเล่นกับแอ็พพลิเคชัน"

นักวิจัยสังเกตเห็นว่าแอพพลิเคชันมีฟังก์ชันในการเข้าถึงและแสดงข้อความโดยตรง แต่ดูเหมือนว่าคุณลักษณะดังกล่าวไม่ได้ผล เรื่องนี้เกิดขึ้นได้เนื่องจากเขาไม่ได้รับอนุญาตให้อนุญาต

อย่างไรก็ตามหลังจากที่ลงชื่อเข้าใช้และออกจากแอ็พพลิเคชันและ Twitter สองสามครั้งข้อความโดยตรงของเขาก็เริ่มปรากฏในแอ็พพลิเคชัน เมื่อตรวจสอบรายการแอพพลิเคชันที่ได้รับอนุญาตให้โต้ตอบกับบัญชี Twitter ของเขา (Settings> Apps) เขาสังเกตเห็นว่าแอพพลิเคชันมีสิทธิ์อ่าน, เขียนและเข้าถึงข้อความโดยตรง

"ฉันตระหนักว่านี่เป็นการรักษาความปลอดภัยอย่างมาก "Cerrudo กล่าวว่า

นักวิจัยยืนยันว่าเขาประสบความสำเร็จในการทำซ้ำหลาย ๆ ครั้งโดยยกเลิกการเข้าถึงแอพพลิเคชั่นและดำเนินขั้นตอนการอนุมัติอีกครั้งโดยไม่ได้รับคำเตือนว่าแอพจะสามารถอ่านข้อความส่วนตัวของเขาได้ ปัญหาได้รับการรายงานไปยัง Twitter เมื่อวันที่ 16 มกราคมและถูกกล่าวถึงภายในเวลาไม่ถึง 24 ชั่วโมงเขากล่าว "พวกเขากล่าวว่าปัญหาเกิดขึ้นเนื่องจากโค้ดที่ซับซ้อนและสมมติฐานที่ไม่ถูกต้องและการตรวจสอบ" Cerrudo กล่าวในบล็อกโพสต์

อย่างไรก็ตามการแก้ไขของ Twitter ดูเหมือนจะไม่มีผลย้อนหลัง หลังจากที่ Twitter แก้ไขปัญหาแล้วแอพ Cerrudo กำลังทดสอบว่ามีการเข้าถึงบัญชีของเขาอยู่แล้วเพื่อแสดงข้อความโดยตรงแม้ว่าจะไม่ได้รับอนุญาตจากเขาให้ทำเช่นนั้นเขากล่าวว่า

ผู้ใช้ Twitter ควรตรวจสอบว่าแอพพลิเคชันใดก็ตามที่พวกเขาได้รับอนุญาตในอดีตได้รับการเข้าถึงข้อความตรงของพวกเขาโดยที่พวกเขาไม่มีความรู้ Cerrudo กล่าว ซึ่งสามารถทำได้โดยการตรวจสอบสิทธิ์ของตนในหน้าการตั้งค่า Twitter> หน้าแอป

Cerrudo ตัดสินใจที่จะเผยแพร่บทความนี้ต่อสาธารณะเนื่องจากอาจมีผลกระทบร้ายแรงและเนื่องจาก Twitter ไม่ได้ให้คำแนะนำสาธารณะหรือประกาศเกี่ยวกับเรื่องนี้ บริษัท ควรรักษาหน้าเฉพาะที่สามารถแจ้งผู้ใช้เกี่ยวกับปัญหาด้านความปลอดภัยได้เขากล่าว

Twitter ไม่ตอบสนองต่อคำร้องขอความคิดเห็นในทันที