公告：facebook自助下单-Facebook加播放量
社交网络巨头Facebook早前因涉嫌泄露超过5000万用户的个人信息,一时间引发舆论争议，创始人马克.扎克伯格不仅为此公开道歉，而且亲赴美国国会接受质询。然而一波未平一波又起，近日Facebook再曝数据丑闻, 1.2亿用户面临隐私泄露风险.北京时间6月29日早间消息，一位名叫Inti De Ceukelaire的安全研究人员发现，Facebook上一款名为NameTests的第三方测验应用存在安全漏洞，该漏洞使多达1.2亿名Facebook用户的个人信息面临泄露风险，即使是用户删除了这款应用，数据也依然会被泄漏，这种情况已经存在一年多了。NameTests是德国应用开发商Social Sweethearts推出了颇受欢迎的社交测验，如哪个迪士尼公主是你？。
Inti De Ceukelaire早在4月份，就向Facebook的数据滥用悬赏（Data Abuse Bounty）计划项目报告了这个问题。Inti De Ceukelaire发现，这种漏洞至少从2016年下半年就存在，泄漏的数据将包括你的Facebook ID、姓名、性别、出生日期、使用的语言、使用的货币、个人资料照片、封面照片、使用的设备、最新信息、帖子和状态、照片和朋友。Facebook在5月对第三方应用进行了一次审计，其结果是约200个应用遭到封停。在剑桥分析公司滥用数据丑闻曝光后，Facebook也阻止了许多新应用加入该平台。不过在今年5月举行的年度F8开发者大会上，Facebook又重新开放了应用审查程序。现在看来，Facebook还面临着更多问题。数据泄露过程在上次的数据泄露过程中，就是一款名为thisisyourdigitallife的应用收集了5000万Facebook用户的数据，并将数据转移给位于伦敦的政治分析公司Cambridge Analytica。Cambridge Analytica参与了特朗普团队的2016年美国大选竞选，向特朗普团队提供了关于选民的详细信息。这次也一样，Nametests上的一个漏洞数据显示，超过1.2亿用户在Facebook上进行个性测验。
这个漏洞存在于Nametests，它与任何请求它的第三方共享用户数据。Inti De Ceukelaire发现，当加载个性测试时，该网站会显示从http://nametests.com/appconfig_user加载的个人信息。从http://Nametests.com加载的数据被封装在JavaScript中，这意味着它可以与其他网站共享数据。Inti De Ceukelaire 分析到：在正常情况下，其他网站将无法访问这些信息。网络浏览器已经建立了机制来阻止这种情况的发生。但由于NameTests是以JavaScript文件显示用户的个人数据，几乎任何网站都可以在他们请求时访问这些信息。为了测试自己想法，Inti De Ceukelaire建立了一个网站，从http://Nametests.com网站上获取有关访客的数据。还有，NameTests提供的访问令牌也可用于访问访问者的帖子、照片和朋友，具体取决于授予的权限。Inti De Ceukelaire补充道：NameTests还会提供一个称为访问令牌的密钥，根据授予的权限，该密钥可用于访问访问者的帖子、照片和朋友。只需要一次访问，个性测试网站即可获得长达两个月的个人信息。在专家发布的视频PoC中，显示了即使在删除应用后，NameTests仍然能泄露访问者的身份。Facebook对漏洞的解决方式自今年3月，因剑桥分析事件首次曝光数据丑闻后，Facebook声称5月已经对第三方应用进行了一次审计，对约200个应用进行了封停。但现在看来，Facebook的审计还不够全面。Inti De Ceukelaire称，他在4月22日就上报了这个问题，但直到8天以后Facebook才作出回应称其正在展开调查。到5月14日，他去查看Facebook是否已经联系过NameTest的开发者；又过了8天，Facebook才回复称其可能需要3到6个月来进行调查。到6月25日，De Ceukelaire注意到NameTest已经修复这个漏洞。在与Facebook取得联系后，该公司承认该漏洞已被修复，并同意向新闻自由基金会（Freedom of the Press Foundation）捐赠8000美元，以此作为悬赏计划的一部分奖金。历时一个月才修复NameTests安全漏洞的差劲表现，也再次引发了用户对Facebook数据安全的担忧。不过，作为在Facebook平台上运行的恶意软件之一，NameTests在3月份开始的安全性审计测验中被漏掉了，尽管Facebook表示它已经在该调查中暂停了200多个应用，但显然像NameTests这样的应用还多得很。目前，我们暂且理解它是一个审计疏忽的结果吧。这也从侧面证明，Facebook平台的整体安全性目前差到何种程度，尤其是当用户在使用社交网络上的第三方应用时。Social Sweethearts的回应Social Sweethearts在一份声明中表示：经过仔细调查，没有证据表明，应用程序里的个人数据已被泄露，并且更没有证据表明它被滥用。尽管如此，我们对数据安全非常重视，目前正在采取措施规避未来的风险。缓解措施Inti De Ceukelaire还发现，即使在删除应用程序后，用户信息仍可通过网站被获取。用户必须手动删除其设备上的cookie，以防止他们的数据泄露。据Facebook称，该漏洞可能已经影响了Facebook用户与http://nametests.com共享的信息，为将危害降至最低，Facebook已撤销了Facebook上注册使用此应用的所有人的访问令牌。这可能会影响人们与http://nametests.com共享的Facebook信息，所以人们需要重新授权应用程序才能继续使用它。GDPR对Facebook业务模式的影响挪威消费者委员会(NCC)在4月和5月对Facebook、谷歌和Windows 10进行了分析，发现许多默认设置是侵犯隐私的，并且有误导性的措辞，以使用户产生自己在控制的错觉，并隐藏有利于保护隐私的选项。该报告发现，在《通用数据保护条例》(General Data Protection Regulation，GDPR) 5月25日生效前，用户在访问Facebook和谷歌所提供的软件(如Gmail和YouTube)时，会看到一个弹出窗口，其中显示如果用户不选择侵犯隐私的选项，就会失去软件功能或被删除账号。
目前，国际隐私组织(Privacy International)表示，它将加入NCC，与欧洲和美国的其他消费者和隐私组织一起，要求欧洲数据保护机构调查这些公司是否在按照GDPR行事。
本文翻译自：https://securityaffairs.co/wordpress/74009/hacking/nametests-data-leak.html如若转载，请注明原文地址：http://www.4hou.com/info/news/12314.html更多内容请关注嘶吼专业版——Pro4hou
