Skype отключил восстановление паролей

Развитие событий: Как Skype борется с уязвимостями? Никак (21 декабря 2016)

Благодаря уязвимости, которую нашли российские специалисты, можно было получить доступ к абсолютно любому Skype-аккаунту только благодаря знанию почтового ящика, на который он зарегистрирован.

Уязвимость была доступна через функцию восстановления пароля. Так как в Сети очень быстро появилась подробная инструкция по эксплуатации уязвимости, сейчас страница восстановления пароля вообще закрыта.

Единственный способ защиты от взлома — смена почтового ящика, привязанного к Skype-аккаунту на такой, о котором никто не знает.

13 ноября пользователь форума xeksec.com рассказал, что еще «месяца два» назад написал о найденной критической уязвимости в Skype Support, тем не менее, компания до сегодняшнего дня не принимала никаких мер для ее исправления. Возможность использовать уязвимость была закрыта только после того, как за последние сутки в Рунете прошла волна популярных публикаций на эту тему. По факту, проблема до сих пор не решена.

Лучшие комментарии

Добавить 24 комментария

  • Ответить
    Альтер Эго

    Вообще-то сначала публикация про дыру в Скайпе появилась на Хабре, но без пруфа как что делать, только общее догадки. А на том форуме по ее мотивам уже нашли точную дыру.

  • Ответить
    Альтер Эго

    Хы http://habrahabr.ru/post/158545/#comment_5428521 [QUOTE]Спасибо за статью, мой skype угнали. При чем на моих глазах. В этот момент я сам пытался сменить почту и тут приходит «метка». Играл с вором наперегонки, но, в итоге, сработал лимит на число восстановлений пароля за сутки (теперь надо ждать 24 часа), а злоумышленник оказался последним, восстановившим пароль.[/QUOTE] А вообще всю ночь жесть творилась, это была ночь длинных ножей для Скайпа. Эпик фейл для МелкоСофта.

  • Ответить

    >>можно безболезненно сменить основной адрес myaddress@gmail.com на myaddress+mysecretword@gmail.com >Сомневаюсь что валидатор в профиле Скайпа пропустит такой адрес. Вот что за привычка писать всякую фигню, если сам не проверил? Всё пропускает отлично, т.к. адрес валиден по RFC.

  • Ответить
    Альтер Эго

    Про RFC в курсе, только мало где полноценные валидаторы стоят, там довольно сложный регэксп нужен, чтобы проверять полное соответствие стандарту. Поэтому часто делают упрощенные валидаторы, которые проверяют только подмножество из множества валидных по RFC. Ну молодцы, че.

  • Ответить
    Альтер Эго

    >Сам же автор поста на Хабре говорит, что сначала написал сообщение на форуме Ок, он там ниже пишет http://habrahabr.ru/post/158545/#comment_5427795 «Но реализацию самой уязвимости я только что прочитал на форуме хеки, догадались после моей статьи.» Я думал он статью на Хабре имел в виду.

  • Ответить

    > Поэтому часто делают упрощенные валидаторы, которые проверяют только подмножество из множества валидных по RFC. на лабораторных в школе может так и делают, в реальной жизни, даже если программист совсем ленивый, он подключит готовую библиотеку из первых строчек гугла.

  • Ответить
    Альтер Эго

    > на лабораторных в школе может так и делают, в реальной жизни, даже если программист совсем ленивый, он подключит готовую библиотеку из первых строчек гугла. Не школьники отличаются не только тем, что умеют подключать библиотеки, но и тем, что и стандарты читают «ми библиотеку«ут написать ;) Практика показывает, что половина сервисов не даст записать в профиле вот такие емейлы, валидные по RFC (Скайп дает) [QUOTE]"Abc@def"@example.com «Fred Bloggs"@example.com «Joe\Blow"@example.com «Abc@def"@example.com customer/department=shipping@example.com $A12345@example.com !def!xyzc@example.com _somename@example.com[/QUOTE]

  • Ответить
    Альтер Эго

    Хех, а с доменной частью валидатор на Скайпе все равно лажает и на дает ввести такие валидные емейлы: [QUOTE]support@com me@[1.2.3.4] me@[1:3F][/QUOTE]

  • Ответить

    > Практика показывает, что половина сервисов не даст записать в профиле вот такие емейлы… Ход Ваших мыслей верный, а вот выводы ошибочны.) Та самая «половина сервисов» как раз и написана школьниками…)

  • Ответить
    Альтер Эго

    Так, а где гарантия, что стороннюю библиотеку не написал школьник? Встроенный валидатор в php например тоже считает адрес support@com не валидным.

  • Ответить
    Альтер Эго

    Ну и некоторые совершенно сознательно делают проверку в формах более жесткую чем RFC или наоборот более мягкую. Дело в том, что почтовые сервера в реальном мире сами не всегда следуют RFC, поэтому единственный 100% надежный валидатор адреса это подтверждение через получение письма.

  • Ответить
    Альтер Эго

    > Дык там обычно написано кто автор). Угу, то есть по вашему валидаторы к php написаны школьниками. > Знал бы, что Вы такой зануда — сразу промолчал бы Да, ковыряние в мелочах это такое занудство, лучше забить. А потом скайпы взламывают…

  • Ответить
    Геннадий Калугин квартироремонт

    Господа! Что Вы за персоны? почему Ваши аккаунты взламывают? Мне обидно блин! У меня около 500 аккаунтов и ни разу ни один не хакали. Значит я нахрен никому не нужен? И какой мне вред если кто увидит мою информацию? Обо мне кому-то что-то написали. И этот кто-то не говорит мне что. Да и хрен с ними обоими! Главное чтоб не блокировали. Хуже — когда за правду и за помощь, за критику по существу, банят по навету стукачей. Калугин из Калуги: http://gena87.livejournal.com/5865.html http://www.liveinternet.ru/users/gena87/ http://kvartiroremont-kaluga.ru/ http://xn--7sbbagjlxpfminlc1abb8aiz.xn--p1ai/

  • Ответить
    Геннадий Калугин квартироремонт

    На free-lance. RU Не положено оставлять инфу о себе, они же посредники. Я блин не разобравшись поначалу и соблазнившись, их пузомерками, опубликовал 5 постов. Пошли письма с оповещением об удаленииЮ. Ну я понял и успокоился. Но к одной статье, пришёл коментарий, я глянул, она не удалена, Думаю модер ещё не добрался. Но продержалась она долго. Потом пошли ругательства от фри-лансеров. Оскорбления от творческих и интеллигентных парней. Они ругались за спам. Хотя есть разница между спамом и рекламой. Когда мне надоело прирекаться, написал со зла: «а вы стуканите модератору». Они воспользовались советом. Гена. админ:http://schurup87.narod2.ru/ http://calugin-gennadij2012.narod2.ru/

  • Ответить
    Геннадий Калугин квартироремонт

    Оптимизация сайта, забавные случаи из моего опыта. Я новичок в SEO, да и вообще мой опыт в интернете меньше года и в основном в соц. Сетях. События, о которых я буду писать, давно известны опытным сеошникам, но думаю, мои наблюдения будут интересны новичкам и читателям не связанным никак с тематикой. С целью продвижения сайтов, захожу на всевозможные форумы и блоги. Открываю темы, оставляю комментарии, стараясь не вступать в полемики. Зашёл, оставил заметку со ссылками и дальше! Но однажды не удержался. На форуме был вопрос, по очень близкой мне теме (штукатурка, сухие смеси или готовый раствор). Один из участников, явно продвигал готовые смеси. Я не удержался и оставил комментарий, обоснованный и профессиональный. Естественно получил возражения, слабо мотивированные, но очень эмоциональные. Решил оставить последний комментарий и смыться. Написал: «работать надо не тем что удобней, а тем что уже есть у клиента, при условии пригодности материала». Крыть такой аргумент нечем. Я понял, что погорячился и не совсем тактично поступил. На форум я больше не заходил. И тут пошли письма на мейл, жёсткая критика, обвинения в непрофессионализме и всё это вперемешку, с ругательствами и обзывательствами. Старался, как можно вежливее защищаться. Естественно, аргументировано. Но они начали слать цитаты статей с моего сайта с критикой, естественно добавляя ругательства и обидные обзывательства. Если отбросить обидные выражения, критика во многом была справедливой и я стараясь сдерживать эмоции, максимально вежливо, благодарил за замечания, обещал учесть. Терпение моё подходило к концу. Решил дальше — игнорировать! И грешным делом промелькнула мысль — Доведут, сделаю скриншоты и размещу на их любимом форуме (травили меня оба участника сп„ может“дем по раскрутке бренда). И вот, спустя несколько часов приходит оповещение о посте, с известного адреса. Хотел, удалить, не читая, но любопытство взяло верх, открыл и застыл от удивления. Там было извинение! Слов нет! Толи мой возраст. Толи тот факт, что они Петербуржцы (культурная столица), повлияли на их решение. Но наверно — это моя вежливость! Я не повёлся на тон их писем и не отвечал грубостью и необоснованными обвинениями. Теперь я понял, как важна корректность поведения на форумах! Советую всем, быть вежливыми и корректными, держать под контролем эмоции. Не всегда наша точка зрения и убеждения, совпадают с мнениями окружающих — потому не надо превращать форумы в базар. Излишне говорить о толерантности, без того всем известно к чему приводит неадекватное поведение в диспуте! Ещё один любопытный случай. Я решил «перепахать регион. Зарегистрировался почти во всех каталогах. Оставил посты со ссылками — на всех авторитетных, тематических ресурсах. И в конце решил зайти на один портал, достаточно авторитетный и с неплохими показателями в рейтинге. Зарегистрировался. Начал думать, куда пихнуть заметку со ссылками. Идей не было — решил заглянуть на форум. Поразила атмосфера! Как будто в кружке сидят интеллигенты или причисляющие себя к таковым. Делятся размышлениями на тему интеллигентности и маргиналов. Знакомая думаю ситуация. Скорей всего — неуспешные по жизни люди, прикрывающие свои «неуспехи», своей интеллигентностью. И тут появляется сообщение: А кто это у нас тут ходит?». Ответ: «да это сеошник рыскает, ссылки свои распихивает». И действительно, появилась заметка, со ссылками на сайт, аналогичный, моему сайту. Решил оставить комментарий к теме, пихнуть ссылки, да и свинтить, пока не побили. Однако не решился, но желание «наследить» на «увесистом» сайте осталось. Вернулся в профиль и там, на стене, оставил статью со ссылками. Авось не заметят. Но не тут-то было! Пошли письма на мейл (с форума я ушёл). Грубая, насколько позволяет интеллигентность, критика (не по теме), потом и ругательства. Зашли на сайт, не поленились. «Пишешь ты красиво но!!!» И началось, правда, без выраженных, личных оскорблений. Как мог, вежливо и тактично, оправдывался, поблагодарил за оценку моего, корявого слога, извинился за грамматику, маляр мол. Но, увы, не помогло. Зашёл на сайт и не обнаружил своего акаунта. Видимо пожаловались модератору. Пост сеошника, который был до меня остался на месте. Обидно, но стерпел и двинулся дальше. Но что прикольно, за час, который мои ссылки красовались на ресурсе, Гугл, успел их индексировать. Конечно, долго они не продержатся. Зато просматривая ссылки в анализаторе, я вспомнил адрес ресурса. Попробую ещё, только для начала попытаюсь расположить к себе, тамошних обитателей. Вежливость — творит чудеса! Вот главный вывод этой статьи. Господа, блогеры — давайте будем взаимно вежливы и максимально корректны в своих оценках!

  • Ответить
    Геннадий Калугин квартироремонт

    vk, я 5 месяцев раскручиваю сайты, сам по бедности, и без бюджета, успехи не плохие PR-2 CY-10, топ-10 — по всем нужным мне запросам в регионе! Эт я хвастаюсь! Одлнако, с терминологией — задница. А уж с проф. жаргонизмами — огромная задница, не сказать ещё хужей! Прокоментируйте «жесть»!

  • Ответить

    Извольте. Словом «Жесть» я описал тот лютый пиздец, никак не связанный с изначальной темой обсуждения, и добротно укомплектованный какими-то спам-ссылками, который развернулся на полтора экрана моего full-hd монитора чуть выше.