사용자 비밀번호가 해커에게 노출될 수 있는 보안 침해 사고를 보고한 결과, 페이팔은 윤리적 해커인 알렉스 브리산에게 1만 5300달러($15,300)의 버그 바운티를 지급했습니다. 페이팔은 브리산이 연구원으로서 이 침해 사고를 발견하고 자신들에게 보고했다고 공개적으로 인정했습니다.
브리산은 1월 8일에 이 침해 사고를 보고했지만, 페이팔은 이미 12월부터 해당 결함을 수정했음에도 불구하고 브리산에게 보상을 지급했습니다.
윤리적 해커(화이트햇 해커라고도 함)는 정보 보안 전문가로, 악의적인 해커가 이용할 수 있는 보안 취약점을 찾기 위해 소유자의 대리인 및 동의 하에 컴퓨터 시스템, 네트워크, 애플리케이션 또는 기타 컴퓨팅 자원에 체계적으로 침투하려고 시도합니다.
브리산은 공개 발표에서 발생한 사건이 페이팔의 가장 많이 방문하는 페이지 중 하나에 영향을 미치는 고위험 버그의 이야기라고 썼습니다. 이는 로그인 양식을 가리킵니다. 그는 페이팔의 주요 인증 흐름을 탐색하는 동안 이 침해 사고를 발견했습니다.
페이팔의 구멍
브리산에 따르면, 그의 주목을 끈 것은 자바스크립트(JS) 파일에 크로스 사이트 요청 위조(CSRF) 토큰과 세션 ID처럼 보이는 것이 포함되어 있었다는 사실이었습니다. 유효한 자바스크립트 파일 내에 세션 데이터를 제공하는 것은 공격자가 이를 검색할 수 있게 해주며, 브리산은 이렇게 말했습니다.
동일한 맥락에서, PayPal ReCaptcha 구현에 사용되는 JS 파일에서 민감하고 고유한 토큰이 유출되고 있음이 확인되었습니다.특정 상황에서는 사용자가 인증한 후 CAPTCHA 과제를 해결해야 했으며, 페이팔은 노출된 토큰이 CAPTCHA를 해결하기 위한 POST 요청에 사용되었다고 밝혔습니다.
페이팔은 또한 CAPTCHA를 해결한 후 사용자가 다른 (악의적인) 사이트로 이동하여 페이팔 자격 증명을 입력해야 한다고 확인했습니다. 이렇게 하면 해커가 보안 과제를 완료할 수 있으며, 이는 비밀번호를 보여주는 인증 요청 리플레이를 생성합니다.
페이팔은 더 나아가 노출이 악의적인 사이트에서 로그인 링크를 따르는 경우에만 발생했다고 설명했습니다..
윤리적 해커들의 연결 플랫폼
사이버 보안을 장려하기 위해, 한 조직은 해커원(HackerOne), 소프트웨어, 서비스 또는 제품에서 발견된 취약점에 대해 보상을 지급하는 조직과 윤리적 해커를 연결하는 플랫폼을 제공했습니다..
한 해커는 reportedly 해커원(HackerOne) 플랫폼 자체를 해킹하여 20,000달러를 벌었습니다.
이 외에도 윤리적 해커들이 가능한 보안 침해 사고를 찾기 위해 참여하도록 장려하는 해킹 대회가 있습니다. 이러한 대회 중 하나인 Pwn2Own 해킹 콘테스트는 3월에 열리며, 테슬라 모델 3 전기차를 해킹할 수 있는 사람은 누구나 70만 달러와 새로운 테슬라 모델을 획득할 수 있습니다.
애플은 또한 아이폰을 해킹하는 누구나 150만 달러의 보상을 받을 것이라고 확인했습니다.
피처 이미지: 픽사베이
이 글을 읽고 계신다면, 이미 앞서 나가고 있습니다. 뉴스레터로 그 위치를 유지하세요.
무하이민 올로포로쿠
Muhaimin 은 암호화폐 애호가일 뿐만 아니라 암호화폐 뉴스에 글을 쓰는 것을 좋아합니다. 그는 문제를 분석하고 전 세계적으로 일어나는 일에 대해 사람들에게 알리는 재주가 있습니다. 그는 블록체인과 암호화폐가 고안된 상호 신뢰 시스템 중 가장 유용한 것이라 믿습니다.
