TIETOTURVA
Johanna Puustinen, MikroPC, 27.1.2010, 13:25Facebook-uutuudesta paljastui todella nolo suunnitteluvirhe
Facebookin hiljattain julkaisemasta sähköpostivastausominaisuudesta on paljastunut nolo suunnitteluvirhe.
Uusi ominaisuus mahdollistaa "seinäkirjoitusten" kommentoinnin sähköpostin kautta. Kun käyttäjä saa sähköpostiinsa tiedotteen esimerkiksi uudesta seinälleen jätetystä viestistä, voi hän vastata viestiin vastaamalla kyseiseen sähköpostitiedotteeseen.
Tietoturvayhtiö F-Secure havaitsi nyt, että tiedotteessa olevaa vastausosoitetta voi käyttää mistä sähköpostiosoitteesta tahansa. Tiedote tulee vain kyseisen Facebook-tilin omistajan sähköpostiin, mutta siinä olevaa vastauslinkkiä voi käyttää kenen tahansa sähköpostiosoitteesta siitä huolimatta, että osoite sisältää tunnisteen, joka ohjaa vastauksen tiettyyn profiiliin.
Vastauslinkki voi päätyä vääriin käsiin esimerkiksi jos käyttäjän sähköpostitilille murtaudutaan.
MikroPC:n toimituksen pikatestissä F-Securen testiprofiilin kirjoitukseen vastaaminen onnistui, ja vastaus näkyy testitilin haltijan, Matti Meikäläisen, lähettämänä vastauksena.
Joiltakin innokkailta testaajilta oli tosin jäänyt huomioimatta, että vastausviestissä näkyy myös oman sähköpostin allekirjoitus. Testiviestiä ei saa poistettua kukaan muu kuin kyseisen Facebook-tilin haltija, eli Matti Meikäläinen. Tämä johtuu siitä, että Facebook kuvittelee viestin tulleen itse profiilin omistajalta.
Facebookissa ilmeisesti tietoturvaa on vähän ajateltu jos linkistä pystyy vain kirjoittamaan vastaustauksen mutta ei mitään muuta.
Syy miksi linkki on valmiiksi autentikoitu lienee se että jos meilejä lukee esim puhelimella jonka selaimessa ei ole facebook-login-cookieta valmiiksi pystyy vastauksen silti naputtelemaan helposti.
Väliäkö sillä on, että voiko vastauksen antaa mistä tahansa osoitteesta, vai joutuuko lähettäjän tiedot muuttamaan erikseen tätä varten? Jos joku tuon linkin saa käsiinsä ja haluaa sitä käyttää, tuolla ei ole juurikaan merkitystä.
