Anonimowo można było namierzać lokalizację niemal wszystkich telefonów komórkowych w USA

18 maja 2018, 00:16 | W biegu | komentarze 2
: zin o bezpieczeństwie - pobierz w pdf/epub/mobi.

Brian Krebs donosi o podatności w API firmy LocationSmart:

 it could be used to reveal the location of any AT&TSprintT-Mobile or Verizon phone in the United States to an accuracy of within a few hundred yards.

Sam autor znaleziska pisze wręcz o możliwości namierzania w czasie rzeczywistym lokalizacji „wszystkich” telefonów komórkowych w USA:

I found a vulnerability in the LocationSmart website which allowed anyone, with no prior authentication or consent, to obtain the realtime location of any cellphone in the US to within a few hundred feet.

Firma jeszcze wczoraj udostępniała demo, umożliwiające zlokalizowanie swojego telefonu (na komórkę przychodził odpowiedni kod autoryzujący, którego podanie dopiero umożliwiało poznanie lokalizacji). Ale odwołując się do API LocationSmart można było… poznać lokalizację dowolnego telefonu bez potwierdzenia zgody. Istotą problemu było brak sprawdzania uprawnień w momencie, kiedy poprosiliśmy API o odpowiedź w JSON (a nie w domyślnym XML-u).

Dla bardziej dociekliwych, wystarczyły dwa requesty HTTP. Jeden aby pobrać token:

A drugi żeby poznać lokalizację telefonu:

Nie trzeba tu dodawać, że requesty nie wymagają uwierzytelnienia, można się tylko zastnawiać jakim cudem LocationService posiada(ł) lokalizacje telefonów komórkowych w czasie rzeczywistym… Szef firmy LocationSmart stwierdza krótko:

We make it available for legitimate and authorized purposes.

–ms

 

Spodobał Ci się wpis? Podziel się nim ze znajomymi:



Komentarze

  1. Tomasz21

    Witam; W sumie jest ciekawie.Nic dodać nic ująć. Pewnie to dotyczy telefonów na całym świecie.Już się z tym wcale nie kryją? no bo i poco .Pozdrawiam.

    Odpowiedz
    • owca

      A fappple srrraple uparcie twierdzi ze zabezpiecza swoje owieczki…

      Odpowiedz

Odpowiedz