О разработке специалиста по безопасности компании HeadLight Security Михаила Фирстова пишет TJournal со ссылкой на микроблог автора в Twitter.
Исполняемый код созданной Фирстовым утилиты для взлома “ВКонтакте” представляет собой скрипт на Python. Этот скрипт ищет в локальной сети запросы приложений “ВКонтакте” для Android или iOS на обновление списка сообщений. Злоумышленик может прочитать текст отправляемых и принимаемых сообщений, однако идентифицировать пользователя при этом напрямую не может.
По словам Фирстова, описанная им атака стала возможна из-за того, что разработчики приложений “ВКонтакте” намеренно, с целью экономии передаваемого трафика, использовали для передачи сообщений незащищенный протокол HTTP. Причем используется он даже тогда, когда пользователь активировал в настройках приложения использование защищенного HTTPS.
Однако, как сообщил изданию представитель “ВКонтакте” Георгий Лобушкин, проведеная специалистами соцсети проверка опровергла большую часть утверждений Фирстова. Так, приложение для iPhone вообще использует HTTPS всегда, отключить безопасный протокол нельзя. Что касается Android-версии, то она, утверждает представитель “ВКонтакте”, активирует HTTPS когда включена соответствующая опция. В будущем, обещает Лобушкин, соцсеть намерена полностью отказаться от незащищенного протокола HTTP.
Ранее в этом месяце, напомним, стало известно еще об одной уязвимости, связанной с “ВКонтакте”. Специалисты “Лаборатории Касперского” выявили в магазине Google Play вредоносное приложение для прослушивания музыки “Музыка ВКонтакте”, которое похищало учетные записи пользователей в социальной сети. По оценкам “ЛК”, его жертвами могли стать “сотни тысяч пользователей Android-устройств, преимущественно из России”.
