फेसबुक पर पुरस्कार कार्यक्रम कैसे काम करना चाहिए इसका एक अच्छा उदाहरण (कुछ सप्ताह पहले हुई भ्रम के विपरीत): एक सुरक्षा शोधकर्ता ने एक त्रुटि की खोज की जिसने किसी को भी फेसबुक से लगभग किसी भी तस्वीर को हटाने की अनुमति दी - यह आपकी व्यक्तिगत तस्वीरें हैं, मेरा या जुकरबर्ग । इस खोज के लिए, उन्हें बहुत उदार नकद इनाम मिला।
पुरस्कार कार्यक्रम की शर्तों के तहत, जो लोग त्रुटियों को ढूंढते हैं और नियमों के अनुसार उन्हें प्रकाशित करते हैं, उन्हें पुरस्कार मिलता है। किसी भी गलती के लिए न्यूनतम भुगतान $ 500 है। हालाँकि, फेसबुक और भी अधिक भुगतान कर सकता है, जो भेद्यता की महत्वपूर्णता पर निर्भर करता है। अधिकांश भुगतान आमतौर पर $ 1,500 हैं। अपने ब्लॉग पर, सुरक्षा शोधकर्ता अरुल कुमार
लिखते हैं कि उन्हें
$ 12,500 का बोनस मिला है - लगभग 25 आधार भुगतान।
सबसे अधिक संभावना इस उदारता का कारण पाया गया भेद्यता की बहुत, बहुत ही सरल प्रजनन क्षमता है। URL में कई मापदंडों को बदलना एक तुच्छ कार्य है जो आपको एक उपकरण बनाने की अनुमति देता है जिसके साथ एक हमलावर अन्य उपयोगकर्ताओं की तस्वीरों को बड़े पैमाने पर हटा सकता है।
अरुल के अनुसार, भेद्यता की जड़ अवरोधक पृष्ठ है, जो उपयोगकर्ता को विचार के लिए भेजे गए अनुरोधों की स्थिति (उदाहरण के लिए, नकली प्रोफाइल या फोटो, स्पैम, आदि) देखने की अनुमति देता है।
यदि उपयोगकर्ता ने फ़ोटो के बारे में शिकायत की और सेवा कर्मचारी उल्लंघन के लिए सहमत हो गए, तो उपयोगकर्ता को एक लिंक प्राप्त होता है, जिस पर क्लिक करके वह फ़ोटो को हटा सकेगा। जाहिर है, यह लिंक भेद्यता का कारण था।
अरुल ने आश्वासन दिया कि फोटो पहचानकर्ता और उपयोगकर्ता के पेज पहचानकर्ता को रोककर और उनमें कई अंकों को बदलकर, वह किसी भी उपयोगकर्ता की तस्वीरों को हटा सकता है। इसके अलावा, इससे कोई फर्क नहीं पड़ता कि हटाए गए चित्र किसके हैं, और क्या कभी कोई शिकायत उनके पास भेजी गई है या नहीं। इस प्रकार, आप अपने किसी खाते में किसी सेलिब्रिटी की फ़ोटो हटाने का अनुरोध भेज सकते हैं। उसी समय, सेलिब्रिटी खुद को कुछ भी नोटिस नहीं करेगा जब तक कि फ़ोटो हटाए नहीं जाते।
अरुल ने एक वीडियो पोस्ट किया जिसमें दिखाया गया है कि भेद्यता कैसे काम करती है:
अजीब तरह से, अरुल मार्क जुकरबर्ग की प्रोफाइल पर अपनी भेद्यता को प्रदर्शित करता है - इस वजह से, कुछ हफ्ते पहले, सुरक्षा विशेषज्ञ खलील श्रीतेख ने अपना इनाम खो दिया (चूंकि फेसबुक वास्तविक खातों पर कमजोरियों का परीक्षण करने से मना करता है)। हालांकि, अरुल वास्तव में मार्क की प्रोफाइल को नहीं छू पाया था, जबकि खलील ने जुकरबर्ग की दीवार पर एक भेद्यता संदेश पोस्ट किया था। एरुल ने त्रुटि को प्रदर्शित करने के लिए केवल मार्क की फोटो का उपयोग किया, लेकिन डिलीट बटन पर क्लिक नहीं किया।
फिलहाल, दोनों फेसबुक सुरक्षा कमजोरियों को पहले से ही तय कर दिया गया है।