Приложение сломало пользователей «В контакте» (+)

« Подводный мир» получил и опубликовал в открытом доступе более 130 тысяч паролей пользователей к социальной сети.

Приложение « Подводный мир 2», заблокированное на данный момент администрацией « В контакте», подсадило вирус и украло пароли более чем у 130 тысяч пользователей.

По информации « Лаборатории Касперского», вирус редактировал файл hosts , прописывая туда строки vkontakte.ru odnoklassniki.ru.

В результате этого , пользователь , зашедший на якобы « В контакте», оставлял свой пароль злоумышленникам , также ему выдавалось предупреждение о блокировке аккаунта с требованием отправить для разблокировки SMS на короткий номер стоимостью около 10 долларов.

Пароли пользователей при этом записывались в общедоступный файл ( сейчас закрыт), на хостинге Greatnet, скачав который любой мог ознакомиться с данными пользователей. При этом про пользователей « Одноклассников» то ли забыли , то ли сочли неинтересными , аналогичный лог был пуст.

Лучшие комментарии

Pavel Durov VK

ВКонтакте был и остается самым безопасным местом в сети. Внутри ВКонтакте вирус невозможно подцепить даже теоретически. Только выйдя за его пределы и игнорировав все предупреждения , можно установить себе заразу. Пользователям в описании приложения предлагалась ссылка: «необходим новый флеш-плеер , скачать здесь». С него пользователи переходили на наше предупреждение о небезопасной ссылке , дальше на сторонний сайт ( разумеется , не Adobe), дальше в некоторых случаях игнорировали предупреждение браузера и игнорировали предупреждение от ОС , устанавливая вирус. ВКонтакте API или какие-то мифические « внутренние уязвимости» ВКонтакте здесь не причем и являются в данном контексте плодом воображения непрофессиональных журналистов. Имело место стандартное для всех вирусов распространение некой внешней ссылки и ее игнорирование некоторыми неосторожными пользователями. В этой истории возникает закономерный вопрос — зачем хакерам делать публичным список паролей , если сразу после этого их сменят и затронутых пользователей предупредят? В этом случае они просто лишаются десятков тысяч спам-ботов , неся убытки. Реально было около 20 тысяч работающих паролей , все они были сброшены , пользователи были предупреждены в течение суток. Это одна двадцатая процента пользователей , причем часть из них и так была ботами. Вообще же в Контакте в день регистрируется в 3−4 раза больше пользователей , чем указанная цифра. Поэтому на новостной повод данный « вирус» не тянет никак. Похоже , шумиха такого рода имеет смысл только как чья-то пиар-акция. Дополнительные меры , о которых шла речь выше ( ssl , измененная работа с cookies), разумеется , внедряются , только к такого рода « вирусам» они не имеют никакого отношения и никого бы ни от чего в данном случае не спасли. На самом деле , выход один — постепенное повышение компьютерной грамотности пользователей.

2 varg Проблемы пользователей , связанные с незнанием основ сетевой безопасности , которые и вызвали данный информационный повод , мы конечно решить не сможем. Но вот сама социальная сеть вполне могла бы профессиональнее подходить ко многим вопросам. Стоит учитывать значимость самой сети и масштабы последствий в случае компрометаций. Поэтому ответственность основателей сети должна расти. Я приведу несколько моментов , которые можно решить со стороны социальной сети: 1. Проверка слабых паролей. Никто не мешает проверять качество пароля при регистрации и профилактически проверить эти пароли у всех пользователей. У кого слабые — предложить поменять на более приличные. Тетя Мотя при регистрации вряд ли догадыватся , что ее «123456» является самым популярным паролем в мире. Кто , как не система может сделать ( и должна) такое предупреждение? 2. Стоит переработать принципы работы с cookie на сайте. Что снизить и количество XSS и другие бредовые уязвимости. 3. Авторизацию пора проводить через HTTPS , как это давно принято на всех серьезных системах. Есть и другие претензии к безопасности этой системы. Часть которых не решена до сих пор. А насчет мифов , не стоит делать такие хлесткие заявления , это не правда — дыры были и есть , Вы просто не в курсе. И все « вирусные» эпидемии , которые происходят регулярно , вызваны именно проблемами безопасности системы. А если проблема с файлом hosts так актуальна , кто мешает сделать бесплатный чекер этого файла , и раздавать с сайта? Кто хочет — делает , кто не хочет — рассказывает о причинах. Доверия мало к этой сети именно из-за ярких пробем с безопасностью.

Добавить 105 комментариев

Нормально. 0,25 процента соцсети за день

зашел по ссылке на приложение — «Приложение Подводный мир 2 убрано с Вашей страницы.» у меня его никогда и не было. Весело с Павликом тут , однако.

Это из-за параметра. Если бы адрес был http://vkontakte.ru/app711384 — ничего бы про « убрано» не писали.

Да парольки там занятные были. мы даже початица успели ;)

Из этого списка только что спокойно зашёл на 7 из 10 аккаунтов. У 3х подошёл пароль ещё и на почту.

А Дуров не хочет пароли спалившимся поменять? Или у «В контакте» этого списка нет? И вообще , интересно , что тут делать — валидизировать пользователей по почте уже нельзя , но и оставлять им пароли — тоже стремно.

Судя по тому как файлег разошёлся по сети , думаю менять всем нужно. у меня последняя версия файлика от 19:02 , 290 тысяч строк. проверил пару почтовых адресов , реально подходит :(rambler.ru и yandex.ru обещали меры принять.

ЗЫ: Касперский забавно подсуетился стянув базу и сделав форму проверки. молодцы бл…

Альтер , пароли поменяли и выслали новые , но суть не в этом , эти пароли к почтовым ящикам подходят)

при чем , что забавно , письмо с новыми паролями выслали на email ящики , на которых стоят старые пароли.

Спустя сутки после этого масштабного увода паролей пользователи так и не получили никаких уведомлений от администрации сети.

Вообще , сменить пароли , из-за их соответствия почте , явно недостаточно , так как пароли отправленные на почту с совпадающими паролями , не гарантируют того , что аккаунтом не завладеет злоумышленник. Думаю , что администрации ВК стоит договориться с провайдерами почт , пробить спалившихся на идентичность паролей. Если разные — обновить пароль и все. Если одинаковые — ставить блок на изменение анкет , разослать пароли по SMS ( если есть номер сотового телефона) А вот если сотовый не указан и контактов кроме почты нет — то что тут делать — совершенно неясно. Думаю , поэтому ВК пока ничего не пишет , думает.

Не думаю , что на встречу им пойдут почтовые провайдеры , да и то , что администрация Вконтакте будет заморачиваться этим , уж тем более SMSками.

Вот на руформаторе в комментах ( http://ruformator.ru/news/article05814/default.asp) есть ссылка на файл ( http://letitbit.net/download/7657.75b91531f81b1fa268ca81ec0/logggz.rar.html). to zhecka , to sinodov: Похоже единственный кто хоть как-то среагировал это Касперский ( «А вот если сотовый не указан и контактов кроме почты нет», то может у них Касперский стоит). Так что +100 очков лояльности к Касперскому. Впрочем у антивирусов работа такая чужие дыры закрывать…

Ну чтож — ожидаем всплеск разводов :-)

Интересно , собранная база украденных паролей является « свободной» информацией? Ознакомление с этими данными и их использование является законным? Еще интересно , Вконтакте планирует взрослеть в области безопасности? Если да , то когда это случиться?

Да как-то Вконтакте и не виноваты особо. обычный фишинг + дань API Вконтакте.

К hitman — я , в принципе , тоже думаю , что ответственность « В контакте», который узнал о компрометации паролей , формально может ограничиться рассылкой новых паролей. То что они совпадают с почтой — проблема негров.

Вообще-то отношение к размещаемым приложениям довольно странное. Учитывая некоторые аспекты в безопасности флэша особенно.

Скорее всего этот вирус писал в hosts « odnoklasniki» ( с одной « с»), поэтому аналогичный лог и был пуст.

Вот-вот. Страницы в Вконтакте можно создать новые , ничего ценного на них все равно нет. «Негры» с совпадающими паролями получили хороший урок. Теперь будут более внимательно читать пояснения о безопасности на сайтах и использовать несколько ящиков. Ребята , которые создали такой приложение для Вконтакта , умные однако: знали , что времени у них мало и выставили сразу 10 долларов за SMS. А вы говорите проблема с монетизацией =)

По-моему 10 долларов за SMS — это стандартная цена при разводе пользователей. Иногда , правда , делают приличный вид: берут 10 рублей в сутки. На месяц вперед

>>Из этого списка только что спокойно зашёл на 7 из 10 аккаунтов. У 3х подошёл пароль ещё и на почту. http://lurkmore.ru/95 В нашем случае 30.

>Впрочем у антивирусов работа такая чужие дыры закрывать… К сожалению ни один из антивирусов такого делать пока не может. Их работа в другом. >Еще интересно , Вконтакте планирует взрослеть в области безопасности? Если да , то когда это случиться? Вы путаете причинно-следственную связь. Вконтакте здесь вообще не причем , и при этом является очень неплохо защищенной сетью. Мифы о её дырявости вызваны повальной глупостью и неосторожностью пользователей помноженную на их количество. Т.е. человек поставил себе ерунду какую-то — потерял аккаунт или деньги отправил злоумышленнику , понятное дело виновата сеть. Конкретно уязвимостей самой сети за всю её историю можно по пальцам посчитать.

@varg: я что-то недогоняю , приложение « Подводный мир-2» прилетало к пользователю святым духом или им эту « ерунду какую-то» показывал любимый сайт? Я думал что это просто абстрактный вирус , а уточнение про приложение конкретно доставляет.

Какой это вирус , если используется нативное API , через которое есть доступ к логин/паролю? Или я неправ?

Да , кстати — https , да еще и вот такого вида , было бы неплохо прикрутить Из глобального — почта и прочие коммуникационные сервисы должны , наверное , генерировать пароли самостоятельно , не полагаясь на пользователя

Либо в Лаборатории Касперского совсем считать не умеют , либо им хочется назвать число побольше , чтобы больше людей купили антивирусы. Они взяли и тупо поделили число строк на 2 , увидев , что каждая вторая пустая. Но очевидно , что большинство людей пытается зайти несколько раз , так что в этом файле много одинаковых строк , и ещё много строк с одим логином и разными паролями , не говоря о всяком мусоре. Так что разных логинов там на порядок меньше , и 130 тысяч — явно завышенная оценка. Так что и их утверждение о точном источнике вируса звучит сомнительно. Мне , например , ссылка на вирус пришла вчера в ICQ. А если ссылку на тот файл кто-нибудь выложит здесь и предложит скачать , виноват будет Синодов?

Тут проблема как с Яндексом , которую часто вспоминают — делая сервис , который может усиливать чье-то негативное влияние , надо думать и о том , что часть ответственности за усиление этого влияния , будет возложена на сервис

При регистрации в контакте предупреждают , если пароль простой , а после регистрации поменять его на варианты типа 123456 нельзя. А с https есть две проблемы: во-первых , во всяких мобильных телефонах оно может не поддерживаться , во-вторых , на поддельном сайте можно просто показывать ту же форму через http , большинство жертв не заметит разницы. Хотя , конечно , польза от https есть.

$ sort -u log.txt | wc -l 55073 не 130.000 , но тоже немало. По поводу безопасности: Безопасность такая штука , что денег на нее уходит много , а приносит 0. Поэтому пока не припрет ей и не занимаются. Какой бы хороший пароль не был , от фишинговых сайтов он не спасет. По поводу безопасности авторизации — могут на платежные сервисы равняться , epass , webmoney ( хотя тут слабовата защита) и др. Ну и , конечно , авторизация через смс , это решило бы кучу проблем ( и создало бы новые). Скажем одно смс минимальной стоимости давало бы ключ к авторищации на 5 дней.

>я что-то недогоняю , приложение « Подводный мир-2» прилетало к пользователю святым духом или им эту « ерунду какую-то» показывал любимый сайт? С таким же успехом можно легко обвинить mail.ru в распространении вирусов , если кто-то отправляет со ящика этой системы вирусы или еще круче , в распространении гриппа воздушно-капельным путем виноват воздух. Petr , Давайте предметно — здесь >Стоит переработать принципы работы с cookie на сайте. Что снизить и количество XSS и другие бредовые уязвимости. Каково количество xss и примеры их сколько-нибудь массового использования? Только факты. >И все « вирусные» эпидемии , которые происходят регулярно , вызваны именно проблемами безопасности системы. >А если проблема с файлом hosts так актуальна , кто мешает сделать бесплатный чекер этого файла , и раздавать с сайта? Давайте тогда уж опять примеры вирусных эпидемий и в чем конкретно вина вконтакте. А насчет файлика hosts вы вообще говорите ерунду. Это была слишком скоротечная атака , чтобы провернуть такое , да и подобные вещи это вообще не в их компетенции. Давайте предложим какому-нибудь рапидшаре выпускать чекеры и сканеры после каждого случая распространения через них вирусов?

> С таким же успехом можно легко обвинить mail.ru в распространении вирусов И поэтому на mail.ru таки стоит антивирус. Кроме того , с массовыми рассылками спама от своих пользователей они тоже борются ( с какой-то эффективностью , но она много больше нуля), а не говорят « не , ну это наши пользователи рассылают , что мы можем сделать…". И не только на mail.ru. Можно невинно закатывать глазки , но если приложение просто брало и раздавалось с сайта контакта стандартным образом — это обычный такой гигантский факап. Бывает , что уж там. Посмотрим , как будут ликвидироваться последствия ( ну и как много подобных приложений появится в ближайшие полгода , да). Если нестандартным ( вконтакт « хакнули» каким-то образом), то это не гиганский , а обычный факап.

grep @ log.txt.cs02 | cut -d’:’ -f 1 | sort -u | wc -l 42875 Проблема с подменой /etc/hosts существует давно , и следить за ней по идее должны антивирусы. Тем не менее , вчера мой Аутпост ничего не сказал на добавление того IP-адреса для проверки. Вот , кстати , апрельский список подменяемых сайтов — точно ли виноват один вконтакте? И уж «Подводного мира» тогда точно не было: @echo off echo mail.ru >> %windir%system32driversetchosts echo http://www.mail.ru >> %windir%system32driversetchosts echo http://www.yandex.ru >> %windir%system32driversetchosts echo yandex.ru >> %windir%system32driversetchosts echo http://www.vkontakte.ru >> %windir%system32driversetchosts echo vkontakte.ru >> %windir%system32driversetchosts echo http://www.odnoklasniki.ru >> %windir%system32driversetchosts echo odnoklasniki.ru >> %windir%system32driversetchosts echo http://www.google.ru >> %windir%system32driversetchosts echo google.ru >> %windir%system32driversetchosts echo http://www.rambler.ru >> %windir%system32driversetchosts echo rambler.ru >> %windir%system32driversetchosts echo http://www.ya.ru >> %windir%system32driversetchosts echo ya.ru >> %windir%system32driversetchosts echo http://www.google.com >> %windir%system32driversetchosts echo google.com >> %windir%system32driversetchosts echo http://www.pochta.ru >> %windir%system32driversetchosts echo pochta.ru >> %windir%system32driversetchosts echo http://www.bigmir.net >> %windir%system32driversetchosts echo bigmir.net >> %windir%system32driversetchosts echo http://www.liveinternet.ru >> %windir%system32driversetchosts echo liveinternet.ru >> %windir%system32driversetchosts echo http://www.zaycev.net >> %windir%system32driversetchosts echo zaycev.net >> %windir%system32driversetchosts echo http://www.wikipedia.org >> %windir%system32driversetchosts echo wikipedia.org >> %windir%system32driversetchosts echo http://www.dating.ru >> %windir%system32driversetchosts echo dating.ru >> %windir%system32driversetchosts echo http://www.24open.ru >> %windir%system32driversetchosts echo 24open.ru >> %windir%system32driversetchosts echo http://www.mirtesen.ru >> %windir%system32driversetchosts echo mirtesen.ru >> %windir%system32driversetchosts echo http://www.qip.ru >> %windir%system32driversetchosts echo qip.ru >> %windir%system32driversetchosts echo http://www.start.qip.ru >> %windir%system32driversetchosts echo start.qip.ru >> %windir%system32driversetchosts echo http://www.torrents.ru >> %windir%system32driversetchosts echo torrents.ru >> %windir%system32driversetchosts echo http://www.rutube.ru >> %windir%system32driversetchosts echo rutube.ru >> %windir%system32driversetchosts echo http://www.smotri.com >> %windir%system32driversetchosts echo smotri.com >> %windir%system32driversetchosts echo http://www.mylivepage.ru >> %windir%system32driversetchosts echo mylivepage.ru >> %windir%system32driversetchosts echo http://www.ucoz.ru >> %windir%system32driversetchosts echo ucoz.ru >> %windir%system32driversetchosts echo http://www.intv.ru >> %windir%system32driversetchosts echo intv.ru >> %windir%system32driversetchosts echo http://www.dwar.ru >> %windir%system32driversetchosts echo dwar.ru >> %windir%system32driversetchosts echo http://www.6008help.ru >> %windir%system32driversetchosts echo 6008help.ru >> %windir%system32driversetchosts echo http://www.nevosoft.ru >> %windir%system32driversetchosts echo nevosoft.ru >> %windir%system32driversetchosts echo http://www.championat.ru >> %windir%system32driversetchosts echo championat.ru >> %windir%system32driversetchosts echo http://www.sms911.ru >> %windir%system32driversetchosts echo sms911.ru >> %windir%system32driversetchosts echo http://www.eurosport.ru >> %windir%system32driversetchosts echo eurosport.ru >> %windir%system32driversetchosts echo http://www.kinopoisk.ru >> %windir%system32driversetchosts echo kinopoisk.ru >> %windir%system32driversetchosts echo http://www.kinozal.tv >> %windir%system32driversetchosts echo kinozal.tv >> %windir%system32driversetchosts echo http://www.musicmp3.spb.ru >> %windir%system32driversetchosts echo musicmp3.spb.ru >> %windir%system32driversetchosts echo http://www.hh.ru >> %windir%system32driversetchosts echo hh.ru >> %windir%system32driversetchosts echo http://www.depositfiles.com >> %windir%system32driversetchosts echo depositfiles.com >> %windir%system32driversetchosts echo http://www.dom2.ru >> %windir%system32driversetchosts echo dom2.ru >> %windir%system32driversetchosts echo http://www.help-cmc.ru >> %windir%system32driversetchosts echo help-cmc.ru >> %windir%system32driversetchosts echo http://www.nigma.ru >> %windir%system32driversetchosts echo nigma.ru >> %windir%system32driversetchosts echo http://www.aport.ru >> %windir%system32driversetchosts echo aport.ru >> %windir%system32driversetchosts echo http://www.gogo.ru >> %windir%system32driversetchosts echo gogo.ru >> %windir%system32driversetchosts echo http://www.go.mail.ru >> %windir%system32driversetchosts echo go.mail.ru >> %windir%system32driversetchosts echo http://www.pooisk.com >> %windir%system32driversetchosts echo pooisk.com >> %windir%system32driversetchosts echo http://www.ru.yahoo.com >> %windir%system32driversetchosts echo ru.yahoo.com >> %windir%system32driversetchosts echo http://www.sms.mts.ru >> %windir%system32driversetchosts echo sms.mts.ru >> %windir%system32driversetchosts echo http://www.a1agregator.ru >> %windir%system32driversetchosts echo a1agregator.ru >> %windir%system32driversetchosts echo http://www.narod.ru >> %windir%system32driversetchosts echo narod.ru >> %windir%system32driversetchosts echo http://www.smsrent.ru >> %windir%system32driversetchosts echo smsrent.ru >> %windir%system32driversetchosts echo http://www.smshelps.ru >> %windir%system32driversetchosts echo smshelps.ru >> %windir%system32driversetchosts echo http://www.a1help.ru >> %windir%system32driversetchosts echo a1help.ru >> %windir%system32driversetchosts echo login.oscar.aol.com >> %windir%system32driversetchosts echo http://www.login.oscar.aol.com >> %windir%system32driversetchosts echo login.oscar.aol.com:5190 >> %windir%system32driversetchosts echo login.icq.com >> %windir%system32driversetchosts echo http://www.login.icq.com >> %windir%system32driversetchosts echo login.login.icq.com:5190 >> %windir%system32driversetchosts echo http://www.glebber.info >> %windir%system32driversetchosts echo glebber.info >> %windir%system32driversetchosts echo http://www.xqa.ru >> %windir%system32driversetchosts echo xqa.ru >> %windir%system32driversetchosts echo http://www.iqonline.ru >> %windir%system32driversetchosts echo iqonline.ru >> %windir%system32driversetchosts echo http://www.sup-fd.ru >> %windir%system32driversetchosts echo sup-fd.ru >> %windir%system32driversetchosts echo http://www.nwhelps.ru >> %windir%system32driversetchosts echo nwhelps.ru >> %windir%system32driversetchosts echo http://www.sup24.ru >> %windir%system32driversetchosts echo sup24.ru >> %windir%system32driversetchosts echo http://www.smssupport.su >> %windir%system32driversetchosts echo smssupport.su >> %windir%system32driversetchosts

2 lexa > Можно невинно закатывать глазки , но если приложение просто брало и раздавалось с сайта контакта > стандартным образом — это обычный такой гигантский факап. Бывает , что уж там. Посмотрим , как будут > ликвидироваться последствия ( ну и как много подобных приложений появится в ближайшие полгода , да). > Если нестандартным ( вконтакт « хакнули» каким-то образом), то это не гиганский , а обычный факап. Где-то писали , что это приложение предлагало пользователям загрузить « новый flash-player», т.е. само по себе оно , вообще говоря , не вредоносное , ему надо поверить , скачать и запустить. Таким способом много чего и много где втюхивается. Распространяет ли Яндекс вирусы , виноват ли он , если там есть такое? http://yandex.ru/yandsearch?rpt=rad&text= или такое? http://yandex.ru/yandsearch?text=++&stpar2=h0tm7s1&stpar4=s1

>И поэтому на mail.ru таки стоит антивирус. Если они все-таки пропустят вирус то это будет опять же недостаток антивируса , а не mail.ru. Тот факт что у вконтакте нет антивирусных проверок , соглашусь , недостаток целостности безопасности , но не уязвимость конкретной системы как таковая. Про спам отдельная история. В контакте со спамом борятся ( причем спам идет через базовые возможности , а не через уязвимости) и это не уязвимость , а суть вредоносное действие. Т.е. не препдосылка , а уже эффект. Мы же об уязвимостях т.е. о предпосылках. >Можно невинно закатывать глазки , но если приложение просто брало и раздавалось с сайта контакта стандартным >образом — это обычный такой гигантский факап. Факап. Надо думать как предотвратить. Способ по факту один — жесткая ручная модерация. Ибо вредоносных эффектов может быть уйма ( как например сканером определить что приложение маскируется под плагин для платежной системы , к примеру?) и в реальности не даст 100% эффекта. Для API это всего лишь контейнер флешовый где может делаться что угодно , в том числе с разрешения пользователя с ведома флеш-плеера , вконтакте тут только может ограничить манипуляции с использованием контейнеров на страницах , что по моему мнению делается вполне успешно. Если кто не согласен , конкретные примеры использования…

Можно продолжать отмазываться ( аналогии ваши хромают , сколько-нибудь близкой аналогией будет вирусный флэш-баннер в интерфейсе яндекса). Но я готов поспорить , что — либо вконтакте быстро одумается ( введет модерацию приложений или еще что-то такое) — либо таких приложений скоро будут сотни… и вконтакте одумается. Почему они не одумались заранее — мне неведомо.

предыдущий ответ — альтерэге от 20:25

@varg: если флэш небезопасен ( я ничего в нем не понимаю) и , в частности , может предлагать скачать « новый плейер» — значит нужна жесткая премодерация. Может быть не всего , а только тех приложений , которые набрали какую-то популярность ( но лимит довольно низкий , несколько сот человек , я думаю). Но просто с таким эффектом ( мультипликатором аудитории), как у вконтакта — нельзя делать вид , что это не их проблема ( или что проблемы вовсе нет). Тред на дваче , на который были ссылки в коментах вебпланеты — просто ЖОГ.

lexa: да причём тут flash? кто будет проверять руками сотни приложений? программеры Вконтакте? сомнительно мне. это как плагин для ff , хочешь ставишь , хочешь нет. никто не заставляет. схватил какую-то гадость — сам себе злобный буратина.

Ну вот пользователи уже проверили одно приложение на себе. Эффект потрясающий. Значит обычные пользователи — не должны. Ладно , сейчас мы уже по десятому кругу пойдем , не вижу смысла повторяться еще раз.

>либо вконтакте быстро одумается ( введет модерацию приложений или еще что-то такое) Есть , конечно же. Давно. Только где взять столько экспертов чтобы понимать что вредно , а что нет. Ведь синтез вредоносных действий может быть очень нестандартен и хитер. Нужна экспертная оценка. >если флэш небезопасен Да , как и Gecko , WebKit Как любой софт есть-бывают проблемы , но очень часто не только уязвимости , а различный …jacking , т.е. мошенническое побуждение пользователя к выполнению вреного для него действия. >Может быть не всего , а только тех приложений , которые набрали какую-то популярность ( но лимит довольно низкий , >несколько сот человек , я думаю). Ключевой вопрос — как оно стало популярным? Если CSRF — тогда вопросы к Вконтакте , если другими способами тогда надо анализировать его. В любом случае — разговор начался с того что это НЕ УЯЗВИМОСТЬ сети Вконтакте , что есть факт и что не предполагает что ЭТО НЕ ПРОБЛЕМА сети. Проблема , надо думать , но сделать они по факту могут немного. zhecka >кто будет проверять руками сотни приложений? По факту — эксперты. Где их взять? Оно того стоит?

> схватил какую-то гадость — сам себе злобный буратина. Это очень дурная манера. Такая же как и при фильтрации гадостей в поисках. Конечно , кто же виноват что пользователь их ищет и они популярны. Когда люди болеют им не говорят что нехер было заболевать и чтобы быть здоровым надо просто не болет — их , что интересно , лечат и учать профилактике. Не правди ли это разумно и конструктивно?

>либо таких приложений скоро будут сотни… и вконтакте одумается. Не будет. Оно же не просто. тово. стать популярным. Элементарная капча при добавлении себе приложения в профиль спасет от массы способов. А вот как оно было в этой атаке мне интересно очень , может кто в курсе. Как оно расползлось?

не соглашусь. если вы изначально снимаете шлюху на ленинградке , то должны понимать , что 1 шанс из 100 , что вы ничего не подцепите. Если дядя угощает конфеткой и предлагает покатать в машине , кто виноват если ребенок сядет в машину? По моему основы собственной безопасности детям объясняют в детстве. И плохи те родители которые это детям не объяснили. прав ?

2 lexa: Представьте себе прямоугольное окно , в котором написано: «Для запуска этого приложения необходимо скачать новый плеер». И большая кнопка: «Скачать». Вот это оно и есть , тут не надо разбираться во флеше. То же самое можно сделать красиво в wiki-разметке , или на любом бесплатном хостинге — предлагаете их все закрыть? Или вот icq позволяет , только что пришло: — 467520186 ( 20:56:14 31/07/2009) Запрос авторизации Солнышко Привет)) Мы как-то с тобою встречали Я Вика если не понял кто я вот глянь http://4pok.cn/10406/foto.jar — Надо и его закрыть? Или вот Яндекс позволяет выкладывать: http://vkonreting.narod.ru/kak.txt — загружено в мае , и ведь очевидно , что проверить такой скрипт антивирусом — задача технически не более сложная , чем распознать плохое приложение на флеше. Но ведь лежит же. Я больше скажу: всякие разные интернет-протоколы , от HTTP и SMTP до собственно IP — не безопасны , потому что их создавали для совсем других целей и о задачах безопасности не думали. Так что же , раз создатели ARPANET , DNS и Windows не смогли всего этого предусмотреть , они виноваты и надо всё это закрыть и запретить?

Приложения вконтакте уже премодерируются. По умолчанию все ссылки неактивны. То есть кликнуть и перейти куда то пользователь не может. Как приложение могло кинуть пользователя на левый сайт? Вариант 1) Пользователю давалась текстовая ссылка для скачаивания плеера — крайне маловероятно что 122 тысячи хомячков сделали это. Если сделали то это полностью проблема хомячков. Вариант 2) Приложение прошло премодерацию и было замененено на другое. Опять таки маловероятно , ибо там тогда должна была стоять заглушка — ( ибо приложение было бы копией http://vkontakte.ru/app647544) — что противоречит правилам модерации. Вообще же заведомо пользователи устанавливающие « Счастливого фермера 100500», «Узнай где твой друг по номеру мобильного», «Читай чужую переписку» и прочую хрень откровенные идиоты. Неудивительно что пасс у них везде один и тот же , паника и вопли до небес , а ушерб то откровенно минимален в 99%. Имзо ни один нормальный пользователь не введёт свой пасс если он знает что эта процедура не нужна. А если ввёл — то есть простая аналогия — сел на 71-й автобус вместо 77-го ( не посмотрел), отдал деньги за билет , опоздал на встречу — так кого теперь ругать? Водителя автобуса? Директора автобусного парка? Или всё-таки свою невнимательность?

varg , А вот реально способ расползания да , интересен — скорее всего взломали профайл разработчика какого нить довольно полулярного приложения ( на уровне красот симметри ( http://vkontakte.ru/app127325)) и перезалили совсем другое приложение. Потому как счастливые фермеры 2 давно не получают более 1000 юзеров.

@sinodov >Тут проблема как с Яндексом , которую часто вспоминают — делая сервис , который может усиливать чье-то негативное влияние , надо думать и о том , что часть ответственности за усиление этого влияния , будет возложена на сервис , А как же ЯППБ? Прикидываются , понимаешь , сверхпроводниками. Не хотят брать ответственность. >Из глобального — почта и прочие коммуникационные сервисы должны , наверное , генерировать пароли самостоятельно , не полагаясь на пользователя , А юзер зайдет на сервис и сразу его поменяет на дату рождения. Какой в итоге эффект? >3. Авторизацию пора проводить через HTTPS , как это давно принято на всех серьезных системах. Вы знаете , вы рассуждаете штампами. Я вам докладываю. HTTPS спасает ровно от одной вещи — от перехвата отправленных данных в пути. Все. Детально , чтобы никто ваш трафик « почитать» не смог. Это на практике не такая уж и распространенная вещь — когда вас « слушают»: как примеры , админы ваши , сниффинг в незащищенном вайфае Это не массово , однако все же среднекритичный недостаток. Но не «адская дыра» уверяю. Не предлагаете же вы работать пользователям с ключами личными чтобы туда без него просто не пускали и кража пароля потеряет смысл? >Проверка слабых паролей. Кто , как не система может сделать ( и должна) такое предупреждение? Нешто вы хотите сказать что вконтакте можно брутфорсить по малым длинам? >Есть и другие претензии к безопасности этой системы. Часть которых не решена до сих пор. >А насчет мифов , не стоит делать такие хлесткие заявления , это не правда — дыры были и есть , Вы просто не в курсе. Просвещайте. Приводите примеры , раз « мы» не в курсе. Иначе , извините , обсуждать нечего. Наличие у сервиса xss — рабочий момент , другой вопрос насколько практичны они и какой резонанс могут вызвать. Приводите примеры эпидемий или элементарно эксплуатируемых уязимостей.

to cryuglov: Не 122 тысячи , а всего 42. > А если ввёл — то есть простая аналогия — сел на 71-й автобус вместо 77-го ( не посмотрел), отдал деньги за билет , опоздал на встречу — так кого теперь ругать? Водителя автобуса? Директора автобусного парка? Или всё-таки свою невнимательность? Думаю никто не спорит , что виноват разработчик приложения. Его как-то совсем упустили из виду , интересно , какие данные на него есть во вконтакте , паспорт , фио , номер телефона? После того как приложение становится массовым , имхо , оно должно быть жестко связано с конкретным человеком ( для регистрации домена на руцентре , например , паспорт требуют , а иногда даже и показать просят , тоже самое в яндекс-деньгах ). ЗЫ: А если легко украсть аккаунт разработчика то это уже вина вконтакте.

а господина Дурова в лучших комментариях мы не дождемся? Паша , выходи! Паша! молчит , не дает ответа….((

soomrack >>интересно , какие данные на него есть во вконтакте , Данные на человека у ВК стандартные — почта , айпи Почта и телефон ничем не помогут — если страница была взломана то вины изначального разработчика нет , а заведомые хацкеры пока не настолько считают себя крутыми чтобы указывать свои реальные контактные данные. >>А если легко украсть аккаунт разработчика О том как взломать страницу думаю вам известно — спосбоы давно описаны и подходят для всех социалок. Все мы люди и иногда совершаем ошибки , так возможно произошло и с создателем приложения. И вины контакта в этом никакокй. >> Не 122 тысячи , а всего 42. Всё равно цифра очень большая. [наглый пиар] Приложение рекламируемое в топ1 группе ( 20к уников в сутки) набрало всего 5000 пользователей за неделю [/наглый пиар]

>а ушерб то откровенно минимален в 99% Ну , знаете , 40 тысяч аккаунтов ( и не одного контакта) в _открытом_ доступе — это отличная шутка , да.

>а господина Дурова в лучших комментариях мы не дождемся? Паша , выходи! Паша! молчит , не дает ответа….((А чего ему с дураком разговаривать? Вообще учитывая сколько человек тянут такую махину , стоит предположить что специалисты там очень высокого класса. Молодцы они. Однако , ребят , отвечать за прирученных пользователей — за их глупость , болячки и беды тоже надо. @zhecka >не соглашусь. если вы изначально снимаете шлюху на ленинградке , то должны понимать , что 1 шанс из 100 , что вы ничего не подцепите. Если дядя угощает конфеткой и предлагает покатать в машине , кто виноват если ребенок сядет в машину? По моему основы собственной безопасности детям объясняют в детстве. И плохи те родители которые это детям не объяснили. прав? Вы давайте , эта. детский сад не устраивайте. Если человек сглупил , не знал или забил это не говорит о том что его не надо лечить , пытаться отвадить от таких привычек и воспитывать. Множество людей инфантильны по своей природе , но это не освобождает никого от социальной ответственности за них. Однако , что-то накал глупости в этой области в отрасли весьма высок. Благо законы пока не охватили эту область , иначе не рассуждали бы «о правах» совершенно забывая про « обязанности».

Насчет дурака — Павел все же вышел поговорить , так что не надо =) Можно ли прояснить такое непонятное место: «Реально было около 20 тысяч работающих паролей , все они были сброшены , пользователи были предупреждены в течение суток. Это одна двадцатая процента пользователей , причем часть из них и так была ботами.» Т.е. как администрация поняла , какие пароли работают , а какие нет? Часть юзеров была ботами? Т.е. боты сами ходили по ссылке левой и скачивали себе что-то? Ничего себе oO

cryuglov >>интересно , какие данные на него есть во вконтакте , >Данные на человека у ВК стандартные — почта , айпи Почта и телефон ничем не помогут — если страница была взломана то вины изначального разработчика нет , а заведомые хацкеры пока не настолько считают себя крутыми чтобы указывать свои реальные контактные данные. Это да , поэтому я считаю , что надо требовать предъявление паспорта для купных приложений , хотя бы через руцентр ( у него такое право есть , пусть регистрируют домен и привязывают его к приложению). >>А если легко украсть аккаунт разработчика >О том как взломать страницу думаю вам известно — спосбоы давно описаны и подходят для всех социалок. Все мы люди и иногда совершаем ошибки , так возможно произошло и с создателем приложения. И вины контакта в этом никакокй. Да , даже целенаправленная фишинговая атака работает почти всегда , даже на продвинутых пользователей и вебпрограммистов. Но ведь для разработчиков можно и посильнее ограничения ввести — например заливание новой версии программы только через смс-подтверждение , причем телефон тот , который указан при регистрации , думаю для соц сети с таким кол-вом пользователей подобный сервис внедрить не очень сложно. А если защита такая же как и для рядовых пользователей , то это точно существенная недоработка вконтакте ( мягко говоря). Все равно что обезьям запирать на замок-щеколду , а потом говорить — убежали потому что недосмотрели. >>Не 122 тысячи , а всего 42. >Всё равно цифра очень большая. [наглый пиар] Приложение рекламируемое в топ1 группе ( 20к уников в сутки) набрало всего 5000 пользователей за неделю [/наглый пиар] Большая , но думаю , что хорошая спам рассылка за сутки на фишинговые сайты столько же соберет , а реализуется гораздо быстрее и дешевле.

>а заведомые хацкеры пока не настолько считают себя крутыми чтобы указывать свои реальные контактные данные Ну это глупость просто. Идиоты это делают. @durov >В этой истории возникает закономерный вопрос — зачем хакерам делать публичным список паролей , если сразу после этого их сменят и затронутых пользователей предупредят? Резонанс. Несмотря на увеличивающуюся тенденцию к «тихим операциям», которые имеют целью криминальный заработок не спадает вал желающих « нашуметь и самоутвердится», именно этим объясняется крайне низкое качество реализации большинства вирусов. Юнцы чему-то научившись « пытаются взять планету за яйца».

> ВКонтакте был и остается самым безопасным местом в сети. Внутри ВКонтакте вирус невозможно подцепить даже теоретически. Только выйдя за его пределы и игнорировав все предупреждения , можно установить себе заразу. Мда. Но стоило бы еще запретить прямые ссылки на флеш и пр. опасные штуки ( только прямые ссылки). > Дополнительные меры , о которых шла речь выше ( ssl , измененная работа с cookies), разумеется , внедряются , только к такого рода « вирусам» они не имеют никакого отношения и никого бы ни от чего в данном случае не спасли. На самом деле , выход один — постепенное повышение компьютерной грамотности пользователей. Горбатого могила исправит. Поэтому надо делать для « горбатых». Для счастья компьютер человеку не нужен и изучать его он тоже не хочет и не будет. Кроме того не стоит забывать , что с каждым месяцем дурят пользователя все лучше и лучше.

soomrack >>А если защита такая же как и для рядовых пользователей , то это точно существенная недоработка вконтакте ( мягко говоря). Ну не знаю :) У меня вроде бы такая же. А вот например группа моя имеет дополнительную степень защиты :) >>пусть регистрируют домен и привязывают его к приложению). А деньги они как зарабатывать будут? :) С весны 2009 года мы предоставляем возможность получить прямой адрес Вашего приложения , например: chat.vkontakte.ru casino.vkontakte.ru Однако во избежание массовой регистрации узнаваемых имен с целью перепродажи в данный момент услуга является платной ( 4000 голосов)

Павел , а преможерацию то приложение как прошло? Это же главный вопрос :)

📎📎📎📎📎📎📎📎📎📎