पुराने सुरक्षा छिद्रों को बंद करने की जल्दी में मेगाफोन नहीं

बहुत पहले नहीं, netAn ने मेगफॉन प्रणाली की सुरक्षा समस्याओं - सेवा मार्गदर्शिका का वर्णन करते हुए एक दिलचस्प लेख प्रकाशित किया था।

समय के साथ, हमने यह जांचने का निर्णय लिया कि मेगफॉन अपने ग्राहकों के व्यक्तिगत डेटा की सुरक्षा के बारे में कितना ध्यान रखता है, और "सेवा गाइड" में प्राधिकरण उत्पादों का थोड़ा परीक्षण किया। परिणाम असफल रहा, मेगफॉन ने वास्तव में उस त्रुटि को ठीक किया, जिसमें हब्बर समुदाय ने उन्हें रोक दिया था, लेकिन किसी कारण से उन्होंने आगे जाने और पूरी प्रणाली की जांच करने की हिम्मत नहीं की।

मैं "सेवा मार्गदर्शिका" ( लेख देखें) पर पहुंचकर ग्राहक के खाते के साथ जो किया जा सकता है उसे नहीं दोहराऊंगा।

जैसा कि विश्लेषण से पता चला है, मेगफॉन में , एक आंतरिक प्रवेश द्वार है जिसके साथ संदेश ।megafon.ru , moscowsg.megafon.ru और ग्राहकों को अधिकृत करने के लिए कई अन्य एप्लिकेशन कनेक्ट होंगे। "यूएमएस" और "मेगाफोन डिस्क" मोबाइल अनुप्रयोगों का उपयोग करके, आप एक पूर्ण प्रमाणीकरण प्रक्रिया की आवश्यकता की कमी के कारण उच्च गति पर पासवर्ड का चयन कर सकते हैं।

इस समस्या के बारे में कुछ हफ़्ते पहले मेगाफ़ॉन की तकनीकी सहायता सेवा को एक पत्र भेजा गया था, लेकिन अजीब तरह से, यह हमारे पत्र का जवाब नहीं देता था। 11 दिसंबर को, कुछ भी तय नहीं था।

मोबाइल एप्लिकेशन के ट्रैफ़िक का विश्लेषण करने के लिए, हम दुष्ट मितव्ययी का उपयोग करते हैं
और अब प्रत्येक के बारे में अधिक।

«यूएमएस»

उदाहरण HTTP अनुरोध और प्राधिकरण प्रतिक्रियाएँ

Request: POST https://auth.messages.megafon.ru:15020/tellin/login.do Host: auth.messages.megafon.ru:15020 x-UserAgent: iPhone|iPhone0.0|iPhone OS 0.0.0|0.0.0.0|aVBob25lIDRT|aVBob25l Accept-Encoding: gzip Content-Type: text/xml;UTF-8 Accept-Language: zh-CN,en,* Cookie: JSESSIONID=000000000000000000000000 Content-Length: 344 Connection: close Proxy-Connection: close User-Agent: UMS 0.0.0.0 (iPhone; iPhone OS 0.0.0; ru_RU) XML-like data <?xml version='1.0' encoding='UTF-8'?> <root> <user>+7926000000</user> <random>HUAWEI RCS0000-00-00</random> <secinfo></secinfo> <version>0.0.0.0</version> <clienttype>2010000</clienttype> <pintype>0</pintype> <requestip>653.289.953.846</requestip> <usertype>0</usertype> <deviceID>NvQPSFL3nclMuRJbc8KjjgIBn6CVg49mpzNZoJ4LK0n2OQDpcEENuly9FVK5</deviceID> </root> 1)   Response: Raw [ base64  3680  ] 2)   Response: <root><return>200050401</return><desc>The user information is incorrect.</desc></root> 

«MegaDisk»

उदाहरण HTTP अनुरोध और प्राधिकरण प्रतिक्रियाएँ

 Request: POST https://oauth.megafon.ru/login?oauth_token=92cd604414ba74ff7a3e Host: oauth.megafon.ru Accept-Language: ru User-Agent: Mozilla/5.0 (iPhone; CPU iPhone OS 0_0_0 like Mac OS X) AppleWebKit/0.0.0 (KHTML, like Gecko) Mobile/0B Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8 Referer: https://oauth.megafon.ru/login Content-Type: application/x-www-form-urlencoded Connection: keep-alive Proxy-Connection: keep-alive Cookie: ID=IGmYDY6caHVX\nsFELs55iR7wPyhSMvQHc Content-Length: 141 Origin: https://oauth.megafon.ru Accept-Encoding: gzip, deflate URLEncoded form version: 1 token: HkyOryj8L0nAsL7AMgd2JjqjaO language: ru validateform: QR3g4qMeSF0tPHT9COXCKD4guGeYdwHGFBgrPi1eHr msisdn: 7926000000 p:  login: LoginRU 1)   Response: HTTP  302 2)   HTTP   302 

इन अनुप्रयोगों में दो समस्याएं हैं:

1. जब हमें फोन नंबर और पासवर्ड की एक जोड़ी के सफल सत्यापन के बारे में जानकारी मिलती है, तो हम आगे प्राधिकरण जारी नहीं रखते हैं और इस तरह एसएमएस ग्राहक को UMS में प्राधिकरण के बारे में सूचित नहीं कर रहे हैं
2. डिफ़ॉल्ट रूप से, मोबाइल डिवाइस के माध्यम से प्राधिकृत करने पर एसएमएस अधिसूचना UMS में अक्षम हो जाती है

समाधान के विकल्प:

1. प्राधिकरण के पहले चरण में एन्क्रिप्शन का उपयोग करें
2. कैप्चा दिखाएं
3. प्राधिकरण का प्रयास होने पर एसएमएस अधिसूचना भेजना
4. अल्फाबेटिक पासवर्ड का उपयोग करना

लक्ष्य के रूप में अपने स्वयं के फोन नंबर का उपयोग करके किए गए चेक।