De beveiligingslek in Instagram stelt aanvallers in staat om foto's te verwijderen en accounts over te nemen

Instagram is misschien wel de populairste en meest gebruikte app voor het delen van foto's voor zowel iOS- als Android-platforms, maar net als elke andere app is het niet perfect. In feite is onlangs een nieuwe maas in de wet ontdekt. Volgens experts kunnen aanvallers door de nieuwe beveiligingsfout van Instagram foto's verwijderen of zelfs accounts overnemen. De maas in de wet werd ontdekt in Instagram versie 3.1.2 op een iOS-apparaat.

De Instagram API gebruikt zowel HTTP- als HTTPS-verbindingen om verzoeken en gegevens te verzenden. Gevoelige informatie zoals profielbewerkingsgegevens en inloggegevens worden vaak via HTTPS verzonden, omdat het een beveiligd kanaal is. Maar recent is door mensen bij reventlov.com ontdekt dat sommige gegevens feitelijk worden verzonden met behulp van het andere kanaal waardoor ze kwetsbaar worden voor misbruik door sommige aanvallers die de maas in de wet hebben gekend.

Als gegevens via HTTP-kanalen worden verzonden, is de enige vereiste vorm van verificatie een standaardcookie die vaak wordt verzonden zonder codering telkens wanneer een gebruiker de Instagram-app start. Aanvallers die mogelijk op hetzelfde netwerk zitten als met de iPhone of iPad, kunnen de gegevens mogelijk onderscheppen door middel van een eenvoudige arpspoofing-aanval en kunnen de informatie naar eigen inzicht exploiteren. Als dit gebeurt en aanvallers zich mogelijk kunnen authenticeren met behulp van onderschepte informatie, hebben ze al een ultieme toegang tot het account en kunnen ze op elk gewenst moment inloggegevens wijzigen of foto's verwijderen.

De mensen die de fout hebben ontdekt, maakten het op 10 november openbaar en contacteerden Instagram er een dag later over, maar het enige wat ze kregen was een automatisch antwoord. Tot nu toe kan dit probleem nog steeds aan de gang zijn, dus eigenaars van iOS-apparaten die mogelijk vaker Instagram gebruiken, moeten meestal het HTTPS-kanaal gebruiken of nooit elk open WiFi-toegangspunt gebruiken.

Dit probleem heeft misschien alleen betrekking op Instagram, maar vaker weten aanvallers precies wat ze moeten vinden om toegang te krijgen tot andere accounts, waaronder Facebook, Twitter en zelfs e-mails. Voorzorgsmaatregelen moeten met name worden genomen door mensen die mogelijk gevoelige gegevens op hun apparaten opslaan.

[bron: Reventlov]