Как взламывается Skype

[dolboed]

У меня только что взломали Skype с использованием некоей принципиальной уязвимости сервиса, позволяющей третьим лицам получить код для смены пароля к любому аккаунту на произвольно выбранный почтовый адрес. То есть без взлома сервиса и без подбора паролей. Конкретный механизм, позволяющий это сделать, публиковать не хочу, могу лишь засвидетельствовать, что методика вполне себе рабочая.

Человек, который вломился в мой аккаунт, не стал устраивать там никакого вандализма, а просто позвонил мне в пятом часу утра, чтобы рассказать об использованной для взлома дырке. Мера защиты тут приходит в голову только одна: регистрировать аккаунт Skype с такого адреса электронной почты, который нигде не засвечен, и никому, кроме владельца, не известен. В этом случае злоумышленник не сможет его вычислить и подобрать. А для эксплойта знание почтового адреса жертвы является необходимым условием.

Не берусь предположить, сколько времени потребуется администрации сервиса на заделывание этой дырки в системе. Просто предупреждаю всех заинтересованных лиц о её существовании.

PS. Поскольку никакого вандализма на моем аккаунте взломщик не учинял, Скайп мой по-прежнему доступен. И я им по-прежнему не пользуюсь. Все, что он делает — переброска звонков на текущий номер мобильного (актуально в путешествиях, чтобы за роуминг не переплачивать).

Comments

[i-l-d.livejournal.com]

Спасибо. На месте разработчиков Скайп, я бы исправил это в как можно более сжатые сроки.

[sanmai]

Пишут что уже отключили восстановление пароля.

http://habrahabr.ru/post/158545/

[i-l-d.livejournal.com]

Вообще какая-то дичайшая уязвимость, судя по вашему описанию.

[dolboeb.livejournal.com]

Да, трудно поверить, что такой детский способ позволяет сломать любой аккаунт в системе, которая так кичится своей защищенностью.

[kutusha77.livejournal.com]

так вроде, уже недели две-три назад, предупреждали об этом

[dolboeb.livejournal.com]

Я не получал никаких предупреждений.

А главное - хули предупреждать, если просто дырку латать надо.
От этого эксплойта нет способа защититься при существующих настройках защиты Скайпа.

[fa-sharp.livejournal.com]

"на произвольно выбранный почтовый адрес"

"регистрировать аккаунт Skype с такого адреса электронной почты, который нигде не засвечен"

Это, что, китайская грамота? Какой аккаунт не зарегестрируй (по первому утверждению), всё равно получишь йух, пусть он и неизвестен?

[dolboeb.livejournal.com]

Если Вы не можете сообразить, в чем состоит эксплойт, то Вам придется поверить мне на слово.

Перехват token возможен лишь в том случае, если взломщик ЗНАЕТ, какой email зарегистрирован у Вас в Skype. Если он этого не знает, то не может выдать себя за владельца аккаунта, и, соответственно, не может заказать token.

Email в Скайпе не публичен, в отличие от логина, но он доступен поиску по базе. От поиска спасает как раз не засвеченный email.

[msav.livejournal.com]

Спасибо, поменял адрес (как раз есть один технический) и предупредил друзей.

[iphone5unlocker.livejournal.com]

Присоединясь к спасибу!

[liilliil.livejournal.com]

tema@tema.ru — ломайте

[real-svarog.livejournal.com]

Спасибо, Антон. Поменял. Не приятная ситуация с этими дырами. Рай для вуайеристов какой-то.

[fa-sharp.livejournal.com]

"Неприятная" и "Симпатичный", а не "Симпотичный".

[usoid.livejournal.com]

В Windows 8 можно связать аккаунт в скайпе и учетную запись в Майкрософт. Все равно можно взломать?

[cober69.livejournal.com]

чем больше таких связей, тем легче вас ломать
используйте печатную машинку

[bagimot.livejournal.com]

просто вы никому не нужны
но это не значит что такой дыры в скайпе нет

[dbazhenov.livejournal.com]

Неужели запятая?

[fred2265.livejournal.com]

Они должны решить этот вопрос быстро.

[ivan borzenkov (from livejournal.com)]

А зачем вообще скайпом пользоваться? Он и раньше был фигней, а теперь когда его МС купила скатился окончательно. Ну есть же открытые протоколы :)

[roma-grach.livejournal.com]

Странные вы вопросы задаёте. А если большая часть ваших контактов для аудио-видео связи используют скайп, вы будете выпендриваться?

А если так...

[blackcedric.livejournal.com]

Есть более изящное средство,пользуюсь этим давно ,почта на Яндексе и при регистрации где либо, просто указываешь VasyaPupkin+skype@yandex.ru
т.е после имени пишем + и сервис где регистрируешься (можно что угодно писать).Мыло твоё известно, но что ты ввёл после плюса -неизвестно, это ещё помогает бороться со спамом т.к ты видишь на какой адрес приходят письма.Мыло Яндекса можно интерпретировать на yandex.ru ,com ,ua.Или
ya.com ,ya.ua ,ya.ru
Есть минусы ,не продвинутые сервисы не позволяют вставлять плюс.

[0trada.livejournal.com]

в gmail таким давно пользуюсь, не знала что яндекс тоже умеет. Но таки да, жырный минус — многие сервисы не понимают плюс

[domashnyaya.livejournal.com]

Значит единственная защита от такого взлома - регистрировать с незасвеченным е-мейл? Надо будет поменять, спасибо за информацию.

[geish-a.livejournal.com]

Так почту тоже взломали, или как код получили?

[0trada.livejournal.com]

код приходит в клиент скайпа

[rgrebenkin.livejournal.com]

"Все, что он делает — переброска звонков на текущий номер мобильного (актуально в путешествиях, чтобы за роуминг не переплачивать)"

А можно поподробнее?

[anviza.livejournal.com]

Там есть услуга переадресации входящих Skype-звонков на произвольный телефонный номер, например, купленную по приезду в новую страну местную симку. Стоит денег, поминутно, но небольших, что-то вроде стоимости исходящих на этот номер со скайпа.

Законопроект о человеческих жертвоприношениях

[yuriy pol (from livejournal.com)]

Подарок избирателям от депутатов ЛДПР – Законопроект о человеческих жертвоприношениях. Цитата: «…2.1 Молитвенный обряд, а также религиозные обряды, сопряженные с насильственными действиями в отношении человека или животного беспрепятственно совершаются в культовых зданиях и сооружениях, местах и объектах, специально предназначенных для богослужений, молитвенных и религиозных собраний, религиозного почитания (паломничества), в учреждениях и на предприятиях религиозных организаций, а также в жилых помещениях.»

По ссылке подробности и ПРУФ http://darislav.com/news/1249-chel-jertva.html

Re: Законопроект о человеческих жертвоприношениях

[http://users.livejournal.com/_felina_/]

Это не шутка? :))

[roma-grach.livejournal.com]

Вчера на хабре читал про это. При этом администрацию скайпа уведомили об этой уязвимости давно, однако они видимо игнорируют проблемы.

Нормальные сервисы для роуминга?

[av-bug.livejournal.com]

Антон, а чего не пользуешься нормальными телефонными сервисами типа Youmagic или SIPNet?

[iskander.livejournal.com]

вывод:
давно надо завести тех. е-маил для регистраций

кому не охота конечно - вечно волнуйтесь )))
зачастую почтовые сервисы сами не очень - со всеми этими восстановить паролями через имя любимой собаки - так что засвеченный е-маил использовать для регистраций впринципе не очень

[just-feel-you.livejournal.com]

какой вежливый взломщик. Взломал - предупредил. Пусть даже в пятом часу утра)

[http://users.livejournal.com/_cmeptb_/]

Всякая вещь попадая к микрософту - немедленно портится.
Может к консерватории что-то подправить?

[hacker.klever.net (from livejournal.com)]

Красиво звучит, но мне действительно до чёртиков любопытно было ли это всегда или появилось после покупки.

[sabmiller84.livejournal.com]

а как перебрасывать звонки и экономить в роуминге. не совсем понял

[serge-yakovlev.livejournal.com]

http://www.skype.com/intl/ru/features/allfeatures/call-forwarding/

[amber-style.livejournal.com]

Skype в курсе и в данный момент исследует эту проблему.
Пресс-служба Skype.

[lexizli.livejournal.com]

Пока еще работает дырка. Проверил.

[oleghka.livejournal.com]

Вам прямо в Skype пришел маркер пароля? Мне только на мыло приходит.

[ae-krylov.livejournal.com]

ОФФТОП

А подскажите, раз пошла такая пьянка, как через СКАЙП переадресовывать звонки на мобильный. Только пошагово, пжст., для необразованных.
Заранее мерси.