PallasKatze Сообщение 14/11/2012 01:28 Копия темы
Внимание! Увага! Attention! Achtung! Вир хабэ говнише вестен. Де руссен унд дер Скайп верботен.

Сегодня стала достоянием общественности поистине феерическая дыра в безопасности Skype. Любой злоумышленник может угнать ваш аккаунт зная только ваш логин в Скайпе и адрес электронной почты, на который он был зарегистрирован. Уязвимость осложняется тем, что залогинившись в ваш аккаунт, злоумышленник скорее всего получит доступ к переписке. 

Я пробовал на кошках тестовых аккаунтах, дыра работает.

Единственным надёжным решением на сегодняшний час является смена основного адреса электронной почты в профиле на сайте (в программе, говорят, этого не сделать) на неизвестный никому.

Для адресов GMail можно добавить перед знаком @ произвольный тег, начинающийся со знака +. Гуглите как это сделать, пример мне тут привести не дадут.

Ссылку на источник сознательно не привожу, ибо там есть инструкция по взлому.

Вы были предупреждены.

UPD: для эксплуатации уязвимости не нужны какие-либо особые технические средства или знания, взлом по инструкции может осуществить любая домохозяйка, поэтому отнеситесь к этому соообщению как можно более серьёзно.

UPD 2: проблему начали закрывать (форма восстановления пароля на skype.com уже отключена), поэтому для сомневающихся даю ссылку: habrahabr.ru/post/158545/

DimSUN Сообщение 14/11/2012 01:40 Копия темы
А если поподробнее про дыру?

Везде тихо.

PallasKatze Сообщение 14/11/2012 01:43 Копия темы
Это пока тихо, а вот скоро будет громко. Ибо топик об этой уязвимости в открытом доступе и на известном ресурсе.

FedorZanko Сообщение 14/11/2012 01:48 Копия темы
и как давно это ?

PallasKatze Сообщение 14/11/2012 01:51 Копия темы
В паблике с вечера, примерно, но говорят, что посвящённые её используют уже довольно долго.

emeritua Сообщение 14/11/2012 02:19 Копия темы
МИФ Проверено. 
На 6-м шаге уже ничего никто выбрать не дает. Скрин ниже.

PallasKatze Сообщение 14/11/2012 02:22 Копия темы
Не миф Я собственноручно угнал пароль у самого себя, иначе я бы не писал.

emeritua Сообщение 14/11/2012 02:32 Копия темы
Да, временный пароль получает, идем к ним, а там уже не дает выбор для логина, только текстовое поле (без выбора).
Думается мне, они рихтанули систему генерации пароля и теперь она привязана к конкретному логину, а не только к ящику.
Скрин мой, минут 10 назад проверял.

PallasKatze Сообщение 14/11/2012 02:34 Копия темы
Щас ещё раз проверю, мб уже поправили.

PallasKatze Сообщение 14/11/2012 03:05 Копия темы
Я только что проверил ещё раз: дыра размером с Кетай

alex1153 Сообщение 14/11/2012 05:13 Копия темы
а где эту форму вообще видно то ? На ОФИЦИАЛЬНОМ сайте предлагается ввести ПОЧТОВЫЙ АДРЕС. Так что миф, миф :)

alex1153 Сообщение 14/11/2012 05:18 Копия темы
всё, дошло, так вот откуда паника ))  В общем, дело обстоит так: когда ты вводишь ящик, куда должна придти инфа для восстановления, приходит письмо , которое начинается со слов

"Здравствуйте, <ник_в_скайпе>!"

то есть сайт определил, какой логин пытаются восстановить – по ящику.

Вывод: не теряйте ящик, не потеряете и скайп.

BoxAtBox Сообщение 14/11/2012 05:29 Копия темы
Шутка юмора такая? Вы же на скрине выше перешли по ссылке, высланной вам на почту. И как без доступа к почте осуществить подобное? :)

LinnArts Сообщение 14/11/2012 05:59 Копия темы
обалдеть)
а если мне на почту уже который раз приходит сообщение от фейсбук, что я якобы просила сама прислать их пароль от
аккаунта, якобы забыла, по ссылке просят перейти . Это не ошибка, это тоже кто-то взломать пробует?
У меня там даже нет ничего... жалко же трудов. )

alex1153 Сообщение 14/11/2012 06:54 Копия темы
вполне возможно, что кто-то и пробует )  Или тупо рыбачат

nastya-mcc Сообщение 14/11/2012 07:37 Копия темы
тоже постоянно приходит такое письмо, хотя там зарегена и не пользуюсь.
Думаю это так сам фейсбук народ привлекает)

LinnArts Сообщение 14/11/2012 07:53 Копия темы
вот и мне акк нужен был только для того чтобы игрушки, которые заказчик хотел показать, посмотреть ))

LinnArts Сообщение 14/11/2012 07:58 Копия темы
а про скайп я когда-то давно в журнале "Хакер" читала большую статью, что им вообще пользоваться не айс...закрытый
протокол, неизвестно что сам делает... вобщем я почти ничего не поняла, кроме того, что им пользоваться не буду ))
а потом...а чтой-то не буду? пользуюсь себе... только когда пароли от кошельков ввожу, скайп всё-равно выключаю, 
паранойя такая ))

alex1153 Сообщение 14/11/2012 08:06 Копия темы
ну сам по себе закрытый протокол – это не есть плохо. Это хорошо ) Ну а чтобы он не вредоносил на компе, для этого есть файервол и учётные записи с паролями.

Я вот другой момент слышал – он организует пиринговую сеть, и если получается так, что через твой комп ему удобнее прокачать данные из A в B , то он так и поступит ))) Это для тех, кто ревнует свой тырнет, когда им кто-то ещё пользуется

Так что, можешь скайп не выключать. Если ему надо было бы, то он и выключенный бы всё своровал )

LinnArts Сообщение 14/11/2012 08:16 Копия темы
у меня ничего не сохранено, ни один пароль... воровать нечего )

alex1153 Сообщение 14/11/2012 08:20 Копия темы
пароли никто и не хранит. Их вводят ))

krushka Сообщение 14/11/2012 08:21 Копия темы
работает...

identika Сообщение 14/11/2012 08:21 Копия темы
кажется у меня ломанули скайп, как восстановить?! Как я понял, только через восстановление пароля
upd. Восстановил доступ над скайпом, спасибо за урок ))

KiraD Сообщение 14/11/2012 08:25 Копия темы
Ну вот... Попробовал и все работает. Правда теперь со мной некоторые товарищи не разговаривают=(
Без доступа к почте пароль поменять можно, но владелец скайпа потом с легкостью сможет восстановить этот пароль.

LinnArts Сообщение 14/11/2012 08:32 Копия темы
в браузере, в настройках есть такая функция, как сохранить пароль )
если есть, то кто-то же пользуется! )

alex1153 Сообщение 14/11/2012 08:40 Копия темы
я этим не пользуюсь. Но если зараза сумела взять контроль над системой, то достаточно будет ввести пароль – и он будет перехвачен. Предохраняться нужно просто напросто ))

LinnArts Сообщение 14/11/2012 08:45 Копия темы
что Ивану то никто не помогает? )  молчат такие...

alex1153 Сообщение 14/11/2012 08:48 Копия темы
а Иван уже написал в поддержку на сайте скайпа ?

LinnArts Сообщение 14/11/2012 08:51 Копия темы
ой )) я менеджер проекта?

alex1153 Сообщение 14/11/2012 08:53 Копия темы
теперь да! ))))

Kerberous Сообщение 14/11/2012 09:00 Копия темы
А нехорошо товарищей в качестве кошек использовать)))

KiraD Сообщение 14/11/2012 09:01 Копия темы
Зато они полностью поняли всю серьезность ситуации=) И больше свои адреса никому (особенно мне) давать не будут=)

Kerberous Сообщение 14/11/2012 09:02 Копия темы
Блииин, это через какую же пятую точку в скайпе меняется мыло, обалдеть просто.

Kerberous Сообщение 14/11/2012 09:02 Копия темы
эт да))))

krushka Сообщение 14/11/2012 09:34 Копия темы
ну в origin например тоже есть баг связанный со сменой мыла, без подтверждения с предыдущего мыла... ну и еше можно пользоваться любым аккаунтом, правда этот баг от чего то не афишируется.

GudzON Сообщение 14/11/2012 11:15 Копия темы
та, уже прикрыли. нет возможности восстановить через сайт пароль

PallasKatze Сообщение 14/11/2012 11:17 Копия темы
Ящик жертвы не причем вообще, к нему доступ даже не нужен. На это же мыло регается новый аккаунт и после этого без труда восстанавливается пароль для любого аккаунта, который зарегистрирован на этот ящик.

PallasKatze Сообщение 14/11/2012 11:18 Копия темы
Нет, это не шутка.

PallasKatze Сообщение 14/11/2012 11:20 Копия темы
> но владелец скайпа потом с легкостью сможет восстановить этот пароль
Если злоумышленник сменил в профиле основной email, то задача возврата аккаунта может сильно усложниться или стать невозможной.

alex1153 Сообщение 14/11/2012 11:23 Копия темы
а как возможно зарегить новый акк на ящик жертвы, если:
1) система не даёт повторять ящики
2) доступа к ящику нет

PallasKatze Сообщение 14/11/2012 11:24 Копия темы
Оу, и правда, со страницы восстановления кидает обратно на логин.

PallasKatze Сообщение 14/11/2012 11:27 Копия темы
1. Система даёт повторять ящики
2. Проблема в том, что токен для восстановления пароля приходит не только на почту, но и во все Скайпы, на которых юзер залогинен в аккаунты, зарегистрированные на один и тот же Email.

Вроде проблему начали прикрывать, поэтому дам ссылку: habrahabr.ru/post/158545/

alex1153 Сообщение 14/11/2012 11:29 Копия темы
хм...

а вот мне в скайп ничего не пришло ) Только на почту

PallasKatze Сообщение 14/11/2012 11:35 Копия темы
Утром работало просто прекрасно, что и пугает. Сейчас восстановление уже пароля отключили.
Почитайте пост и каменты, там всё описано.

alex1153 Сообщение 14/11/2012 11:37 Копия темы
ну, будем надеяться, что ДАННЫЙ пост встряхнул владельцев Скайпа и заставил принять срочные меры! :)

PallasKatze Сообщение 14/11/2012 11:42 Копия темы
Не знаю, многим, как всегда, по барабану, мне кажется. Вы, например, приняли меры?)
Главный профит в том, что наконец сумели обратить внимание разработчиков.

PallasKatze Сообщение 14/11/2012 11:45 Копия темы
Проблема не в смене мыла, а в другом немного: http://www.free-lance...

mexi Сообщение 14/11/2012 12:16 Копия темы
Та вроде бы все легко меняется

alex1153 Сообщение 14/11/2012 12:16 Копия темы
я даже принял ))) Мало ли что

alex1153 Сообщение 14/11/2012 12:25 Копия темы
тут вообще такая занятная штука вышла ) Внезапно вспомнился один древний ящик – я лет 10 им не пользовался. Пароль восстановил (вопрос достаточно корявый, к счастью, но именно я его вспомнил – видать учёл это)

там много интересных старых писем :DDD