偷偷摘套内射激情视频,久久精品99国产国产精,中文字幕无线乱码人妻,中文在线中文a,性爽19p

慘遭“開源”,數(shù)百萬Parler用戶數(shù)據(jù)全部泄露

安全 應(yīng)用安全
上周日,特朗普的最后社交媒體陣地——美國社交應(yīng)用Parler也被亞馬遜、谷歌和蘋果公司“拒絕服務(wù)”,但本周一更加驚人的消息從reddit社區(qū)傳出,所有Parler用戶數(shù)據(jù)已經(jīng)公開暴露,任何人都可查詢。

繼美國總統(tǒng)特朗普被Twitter、Facebook和instagram等主流社交媒體集體“封號”后,上周日,特朗普的最后社交媒體陣地——美國社交應(yīng)用Parler也被亞馬遜、谷歌和蘋果公司“拒絕服務(wù)”,但本周一更加驚人的消息從reddit社區(qū)傳出,所有Parler用戶數(shù)據(jù)(包括參加國會抗議示威活動人員)已經(jīng)公開暴露,任何人都可查詢。

[[375388]]

Parler是Twitter的競爭產(chǎn)品,定位是服務(wù)那些對Twitter審查制度高度不滿的人群(包括特朗普)。

年僅27歲的Parler首席執(zhí)行官John Matze無論如何也想不到1月6日國會騷亂以來,在特朗普及其擁躉的號召下,Parler會在短短一周內(nèi),用戶數(shù)從從450萬用戶飆升到800萬,然后歸零。

Parler與特朗普一起,被美國科技巨頭們“社死”了。但是隨著用戶數(shù)據(jù)的全體曝光,Parler的麻煩顯然才剛剛開始。

Parler大規(guī)模數(shù)據(jù)泄露的“罪魁禍首”是Twillio,這家為Parler提供2FA雙因素認證服務(wù)(短信驗證)的企業(yè)與谷歌和蘋果公司一起,停止了對Parler的服務(wù),更糟糕的是身份保護服務(wù)提供商Okta也停止了對Parler的服務(wù),這意味著一場網(wǎng)絡(luò)安全災(zāi)難。

本周一位獨立安全研究人員(@donk_enby)在Twitter上透露(下圖),對Parler iOS應(yīng)用程序進行了逆向工程,發(fā)現(xiàn)了一個API端點(該應(yīng)用程序內(nèi)部用于獲取數(shù)據(jù)的網(wǎng)址),該站點使用了不安全的API密鑰(對于一個web站點這并不尋常),而且由于Parler使用的第三方郵件服務(wù)和2FA認證服務(wù)都已關(guān)閉,任何人都可以創(chuàng)建用戶,而不必驗證電子郵件地址,并且立即擁有一個登錄賬戶,訪問用于傳遞內(nèi)容的登錄框API,并檢索出擁有管理員權(quán)限的賬號。

然后,用戶就能通過重置用戶密碼繞過2FA認證、訪問管理員賬戶,進而枚舉所有Parler用戶已經(jīng)發(fā)布的帖子、視頻、評論等內(nèi)容。

@donk_enby在后繼推文中透露,已經(jīng)利用Parler的安全機制缺陷爬取了99.9%的Parler用戶數(shù)據(jù),包括100多萬條視頻,并且已經(jīng)開始建立在線檔案(最終將存儲在https://archive.org/)。

事實上,已經(jīng)有人開發(fā)了腳本,創(chuàng)建了數(shù)百萬個偽造的管理賬戶,用于通過眾包方式下載Parler的用戶數(shù)據(jù)。通過不間斷地創(chuàng)建管理員賬戶的方式,攻擊者創(chuàng)建了一個稱為Warrior的Docker映像(基本上是虛擬機),任何人都可以下載,并且啟動后能立即以協(xié)調(diào)一致的方式從Parlre收集數(shù)據(jù)。這有些類似當(dāng)年網(wǎng)民廣泛參與的SETI(搜索外星智能)計算力眾包項目。

所有這些(Parler用戶)數(shù)據(jù)、視頻、圖像、帖子、元數(shù)據(jù)(包括所有圖像和視頻的地理位置以及與發(fā)布賬戶的鏈接)(自周日午夜以來)已上傳到各種云盤中存儲,以便以后由執(zhí)法機構(gòu)(清算違法分子)、公眾、開放源代碼情報社區(qū)進行檢索。

換而言之,Parler的所有用戶隱私數(shù)據(jù),包括已經(jīng)被用戶刪除的數(shù)據(jù),一夜之間變成了一個人人皆可訪問的“開源項目”。

安全人員指出,Parler的代碼似乎有嚴重錯誤,在郵件服務(wù)失效的情況下居然會選擇跳過密碼重置郵件,這看上去更像是實驗環(huán)境的臨時代碼。而且這一步是Parler第一次曝出數(shù)據(jù)泄露事件,去年11月420chan的開發(fā)者Aubrey Cottle就宣稱曾從一臺亞馬遜服務(wù)器商獲取了6.3GB的Parler用戶數(shù)據(jù)。

截至發(fā)稿,存有Parler用戶數(shù)據(jù)的服務(wù)器已經(jīng)徹底關(guān)閉,但Parler用戶數(shù)據(jù)大規(guī)模泄露事件目前還在持續(xù)發(fā)酵中,以下安全牛拋磚引玉,提出幾個思考問題,歡迎讀者在評論區(qū)留言點評:

  • Parler事件的是否暴露了第三方web安全服務(wù)中一些此前并未被注意到的共性缺陷?
  • 由于Parler在歐洲也有不少用戶,此次泄露事件會遭受GDPR懲罰嗎?
  • FBI、DHS和FAA等美國政府機構(gòu)能否將泄露數(shù)據(jù)作為清算和起訴暴力抗議活動分子的合法依據(jù)。
  • 相當(dāng)一部分Parler“認證用戶”上傳了駕駛證照片,如此敏感的個人信息被大規(guī)模“開源”,這種“群體黑客”行為是否受到美國隱私法律的懲罰?
  • Parler用戶已經(jīng)“刪除的”數(shù)據(jù),在數(shù)據(jù)庫卻“健在”并可在特殊情況下被訪問,這是云數(shù)據(jù)安全(服務(wù)水平協(xié)議)中一個格外值得重視與核實的問題。

【本文是51CTO專欄作者“安全牛”的原創(chuàng)文章,轉(zhuǎn)載請通過安全牛(微信公眾號id:gooann-sectv)獲取授權(quán)】

戳這里,看該作者更多好文

 

責(zé)任編輯:趙寧寧 來源: 51CTO專欄
相關(guān)推薦

2024-06-17 16:46:41

2023-12-29 16:00:22

2022-06-27 15:16:00

谷歌數(shù)據(jù)

2021-12-02 15:16:58

數(shù)據(jù)泄露WiFi信息安全

2021-01-20 23:40:27

數(shù)據(jù)泄露OpenWRT攻擊

2023-10-23 19:18:05

2015-10-19 18:18:44

2021-01-06 10:01:09

數(shù)據(jù)泄露漏洞信息安全

2021-04-02 11:09:35

MobiKwik 移動支付數(shù)據(jù)泄露

2009-03-25 09:07:25

微軟Windows 7操作系統(tǒng)

2022-12-01 12:14:09

2025-04-03 06:30:00

數(shù)據(jù)泄露黑客網(wǎng)絡(luò)安全

2014-12-25 14:02:24

12306數(shù)據(jù)泄露信息泄露

2014-12-12 09:43:13

阿里巴巴安全漏洞信息泄露

2014-05-22 13:31:40

2025-03-27 11:18:18

2024-02-01 00:03:02

2023-04-20 18:49:01

2022-08-12 16:14:49

網(wǎng)絡(luò)安全數(shù)據(jù)泄露泄露

2020-04-17 09:20:19

數(shù)據(jù)泄露漏洞信息安全
點贊
收藏

51CTO技術(shù)棧公眾號