脸书爆发重大资安事件，攻击者可透过漏洞取得个人帐号的「access token(存取权限)」 ，影响层级达9千万帐户之多！ 从09/28晚间开始，相信大家都有发现脸书帐号、Messenger都被登出，必须重新登入才可 使用。有人怀疑是否被盗用帐号。结果…原来是脸书发生重大资讯安全事件。根据脸书官 方再09/28发出的 资讯安全更新报告 指出： 在美国时间09/25下午，工程师团队发现一个影响层级达5千万帐号之多的资安问题，这个 程式码漏洞发生於『其他用户视角检视』功能，这个功能主要是让用户可以从其他帐号的 角度，检查自己个人动态所呈现的样貌及可被看见的内容。由於这个功能涉及『程式权限 变化』，因此骇客利用这个程式码漏洞取得用户Access Token (存取权杖），这个权杖等 於是一把无须登入脸书就直接存取帐号功能与内容的钥匙。 目前脸书官方宣称已进行的防护作为： 1.修补漏洞，并通知执法部门。 2.重置已知受影响的5千万个帐号 （让所有access token失效），并预防性重置另外4千万 的帐号的存取权杖。 3.暂时关闭『其他用户视角检视』功能。 第二个动作就是造成大家帐号被登出的原因。原本我们登入脸书後，之所以能持续使用， 就是因为在第一次输入帐密登入後，会取得这个access token 存取权杖，并储存在电脑 或者手机上，这样脸书才能持续判断是有权限的使用者本人正在使用，而不需每次使用脸 书都必须登入。 脸书特别说明这个安全漏洞起缘於2017年7月的一个影片上传功能更新，而在『其他用户 视角检视』这个功能下被发掘到漏洞，算是功能交错下产生的不预期漏洞。不幸地，骇客 发现这个漏洞并取得一个access token存取权杖，然後以此帐号一个接一个的挖出更多用 户的access token。然而目前调查还在持续进行中，若影响层级有变化，脸书会即时更新 。 这次事件，因为骇客取得的是access token （存取权杖），而非使用者密码，所以使用 者无需更改密码... 资料来源:https://woment.com.tw/2954/facebook-security-issue-access-token/ 脸书官方公告：https://newsroom.fb.com/news/2018/09/security-update/ --

※ 发信站: 批踢踢实业坊(ptt.cc), 来自: 114.34.92.229 ※ 文章网址: https://webptt.com/cn.aspx?n=bbs/Facebook/M.1538170676.A.8B8.html ※ 编辑: star1231 (114.34.92.229), 09/29/2018 05:46:19