Posté le août 27, 2019 à 15:03

UN CHERCHEUR DÉCOUVRE UNE FAILLE SUR INSTAGRAM SUSCEPTIBLE D’ENTRAÎNER UN PIRATAGE DE TAILLE, ET OBTIENT UNE RÉCOMPENSE

Imaginons qu’un cybercriminel dispose des ressources et de l’expertise nécessaires pour gérer plus d’un million de comptes en dix minutes. C’est précisément ce que risquait Instagram en raison d’une faille de sécurité cruciale, selon le spécialiste Laxman Muthiyah.

Sur son profil Twitter, Laxman Muthiyah se dit développeur Web, un chercheur en sécurité et «parfois hacker», bien qu’il soit l’un des experts qui détecte les failles potentielles et les communique à l’entité afin que ces failles puissent être corrigé à temps, et même obtenir ensuite des primes pour son travail.

Un exploit important

Récemment, Muthiyah a identifié un exploit important sur Instagram, en particulier, dans la façon dont les médias sociaux et le réseau d’affichage ont géré la validation de ses codes de réinitialisation de mot de passe. La vulnérabilité aurait pu faire en sorte qu’un hacker demande un million de codes de réinitialisation de mot de passe dans un espace de temps de 10 minutes avec un pourcentage de réussite sans faille.

Avec la vulnérabilité potentielle, il n’était pas nécessaire d’utiliser des listes ou des astuces supplémentaires pour voler et pirater les mots de passe Instagram. Au lieu de cela, l’attaquant pourrait simplement utiliser le processus de réinitialisation du mot de passe du système et violer des milliers de comptes.

Le spécialiste avait déjà découvert une vulnérabilité  en juillet, qui permettait aux cybercriminels de pirater un compte sans autorisation. Facebook (rappelez-vous qu’ Instagram appartient au géant des réseaux sociaux) lui a versé 30 000 dollars pour son aide précieuse, et le problème a été rapidement résolu. Cela signifiait qu’Instagram utilisait des codes de réinitialisation de mot de passe à six chiffres pour valider l’opération.

Le chercheur a repéré un moyen de contourner les mesures de détection des attaques par force brute utilisées par la plate-forme pour éviter que des agents externes ne déchiffrent le code en tirant parti de niveaux de puissance de traitement facilement accessibles.

Et alors que l’expert avait déjà identifié trois vulnérabilités sur Facebook dans le passé et qu’il s’agissait de la quatrième, il n’allait pas en rester là. En fin de compte, il a découvert qu’il pourrait exister d’autres vulnérabilités de prise de contrôle au niveau du point d’extrémité du mot de passe.

Problèmes liés au système de code de réinitialisation de mot de passe

Bien que moins sévère que le dernier exploit, Muthiyah s’est concentré sur l’ID de l’appareil qu’Instagram utilise comme identifiant unique pour valider les chiffres de réinitialisation du mot de passe.

Il a expliqué que lorsqu’une personne demande un code d’accès via son appareil mobile, un ID d’appareil est envoyé avec cette demande et que le même ID d’appareil est ensuite utilisé pour vérifier ce code.

Comme Muthiyah est constamment à la recherche de scénarios alternatifs ou hypothétiques, il est souvent créatif dans la recherche de problèmes et dans la recherche de solutions. À ce propos, il s’est demandé si le même ID d’appareil était utilisé pour demander des codes de réinitialisation de mot de passe pour plusieurs comptes. Malheureusement, c’était le cas.

Dorénavant, il n’y avait plus qu’à faire des calculs mathématiques simples. Les codes à six chiffres avaient un million de probabilités. Par conséquent, demander des codes à 100 000 personnes à partir du même ID de périphérique renverrait un pourcentage de réussite de 10%.

Pourtant, si un million de codes d’utilisateur étaient demandés, le taux de succès du pirate potentiel pourrait atteindre 100 % en incrémentant le mot de passe un par un.

Un espace de temps de 10 minutes

Il y a cependant un bémol. Les 10 minutes précédemment mentionnées dans l’article sont dues au fait que les codes de réinitialisation de mot de passe d’Instagram durent 10 minutes et qu’ils expirent une fois écoulé. Cependant, il pourrait être plus que suffisant pour se solder en une attaque de piratage de taille. Le chercheur a déclaré que l’attaque devait alors être effectuée dans ce délai.

Les membres du personnel de sécurité de Facebook ont rapidement réagi et ont confirmé l’exploit potentiel, mais ils l’ont également corrigé à temps. Le réseau social a indiqué que Muthiyah avait détecté des protections insuffisantes sur un point d’extrémité de récupération, ce qui permettrait à un hacker de générer plusieurs nonces valides (terme associé à la cryptographie désignant un nombre arbitraire pouvant être utilisé une seule fois) pour tenter une récupération.

Le réseau social a remis à l’«éthique hacker» une prime de 10 000 dollars en guise de remerciement pour son aide.