Опаснейшая дыра в Microsoft Passport.

Корпорация Microsoft признала факт наличия опаснейшей дыры в универсальной системе онлайновой аутентификации .Net Passport.

Зная лишь адрес электронной почты жертвы, злоумышленник мог произвести операцию смены пароля и захватить учетную запись Passport, получив доступ ко всей ее персональной информации. Причиной уязвимости стала недоработка в реализации функции сброса пароля.

Изначально она предназначалась для помощи забывшим пароль пользователям, однако на практике операция сброса пароля оказалась доступной не только владельцу учетной записи, но и совершенно посторонним лицам. Для сброса пароля нужно было лишь набрать в браузере специальный URL, в котором содержался логин и команда emailpwdreset.

Об уязвимости в Microsoft сообщил пакистанский компьютерный консультант Мухаммед Файсал Рауф Данка. Узнав о дыре, в Microsoft немедленно отключили уязвимую функцию и изменили конфигурацию системы, ликвидировав возможность сброса пароля для всех, кроме истинного владельца учетной записи.

По информации Microsoft, от использования дыры хакером пострадали немногие пользователи Passport. Потенциально опасной дыра была для всех 200 млн. пользователей аутентификационной системы Microsoft.

У проблемы есть и другая сторона. В августе прошлого года Microsoft подписала соглашение с Федеральной комиссией по торговле США (FTC), в котором обязалась принять меры по обеспечению безопасности Passport. В соглашении с FTC был, в частности пункт, предусматривающий штрафные санкции в отношении Microsoft. В случае возникновения проблем с безопасностью Passport, повлекших за собой разглашение персональных данных, софтверный гигант должен будет выплатить до 11 тысяч долларов США за каждого пострадавшего. Таким образом, если считать пострадавшими всех пользователей Passport, то размер штрафа составит около 2,2 триллиона долларов США.

Впрочем, столь астрономический штраф вряд ли будет назначен на самом деле. Решение о наложении штрафа может быть принято только по итогам специального расследования. Пока никакого решения на этот счет не принято, однако то, что в FTC внимательно изучат произошедшее, сомнений не вызывает.

КомпьюЛента