Российский специалист по компьютерной безопасности опубликовал код, позволяющий читать переписку пользователей приложений “ВКонтакте” для iOS и Android. Для того, чтобы “хак” сработал, необходимо, чтобы “шпион” и его жертвы находились в одной сети Wi-Fi.
О разработке специалиста по безопасности компании HeadLight Security Михаила Фирстова пишет TJournal со ссылкой на микроблог автора в Twitter.
Исполняемый код созданной Фирстовым утилиты для взлома “ВКонтакте” представляет собой скрипт на Python. Этот скрипт ищет в локальной сети запросы приложений “ВКонтакте” для Android или iOS на обновление списка сообщений. Злоумышленик может прочитать текст отправляемых и принимаемых сообщений, однако идентифицировать пользователя при этом напрямую не может.
По словам Фирстова, описанная им атака стала возможна из-за того, что разработчики приложений “ВКонтакте” намеренно, с целью экономии передаваемого трафика, использовали для передачи сообщений незащищенный протокол HTTP. Причем используется он даже тогда, когда пользователь активировал в настройках приложения использование защищенного HTTPS.
Однако, как сообщил изданию представитель “ВКонтакте” Георгий Лобушкин, проведеная специалистами соцсети проверка опровергла большую часть утверждений Фирстова. Так, приложение для iPhone вообще использует HTTPS всегда, отключить безопасный протокол нельзя. Что касается Android-версии, то она, утверждает представитель “ВКонтакте”, активирует HTTPS когда включена соответствующая опция. В будущем, обещает Лобушкин, соцсеть намерена полностью отказаться от незащищенного протокола HTTP.