Bir soʻrov bilan topilgan 6800 havola
Meta kompaniyasining Muse shaxsiy sunʻiy intellekt (SI) yordamchisi foydalanuvchilarga suhbatlarini havola orqali ulashish imkonini beradi. Muse — kompaniya sentabr oyida ishga tushirgan yordamchi (avval xabar qilganimizdek); sahifa havolaga ega har qanday odam uchun ochiladi — hisob, kirish soʻrovi talab qilinmaydi.
Kiberxavfsizlik kompaniyasi Claroc shu ulashish mexanizmidagi zaiflikni aniqladi va tadqiqotni oʻz blogida eʻlon qildi. Muse har bir ulashish havolasining veb-manzilini suhbat sarlavhasi va tasodifiy identifikator (ID) asosida, cf.metaaiusercontent.com domeni ostida yaratadi. Muammo shundaki, sarlavha ochiq DNS yozuvlariga yoziladi: bitta passiv-DNS soʻrovi minglab havolani nomlari bilan roʻyxat qilib beradi. Claroc buni "GhostShares" deb atadi.
Diqqatga sazovor jihat shundaki, zaiflik havolani taxmin qilishda emas — uning nomlanishida. Suhbat sarlavhasi manzilning bir qismi boʻlgani uchun bitta passiv-DNS soʻrovi minglab sahifani nomlari boʻyicha saralab beradi: sahifa mazmuni uni ochishdan oldin maʼlum boʻladi. 6800 dan ortiq havola — aynan shu mexanizmning birgina soʻrovdagi natijasi; ularning barchasi hisob yoki kirishsiz, havolaga ega har qanday odam uchun ochiq boʻlgan sahifalar edi. Tadqiqotchilar tijoriy passiv-DNS xizmatida Muse kontent domeni boʻyicha qidiruv oʻtkazdi. Skaynerlash shovqinini filtrlagach, 6800 dan ortiq ulashish havolasi qoldi; ulardan bir necha yuztasi ochib koʻrildi. Sarlavhalar sahifa mazmunini ochishdan oldin ham oshkor qilib turardi. Havolalarni taxmin qilish yoki biror himoyani aylanib oʻtish shart emasdi — DNS yozuvidan olingan sarlavha va ID bevosita sahifaga olib bordi.
Havolalarda nima topildi
Ochilgan sahifalarning aksariyati zararsiz edi: kichik biznes saytlari, eʻlonlar, tadbir taqvimlari. Lekin bir qismi aniq maxfiy maʻlumotlar edi. Claroc oltita toifani sanaydi: yetakchi SI laboratoriyasi bilan maxfiy qoʻngʻiroqqa tayyorgarlik koʻrgan nomzodning eslatmalari (laboratoriyaning ichki aloqasi va uchrashuv vaqti bilan), milliy marketing kompaniyasining bosh direktori uchun belgilangan ichki daromad sharhi, kichik biznes egasining soʻralgan summa koʻrsatilgan kredit arizasi, bankdagi firibgarlik ogohlantirishi va qisman hisob raqami yozilgan vazifalar roʻyxati, ikkita koʻchmas mulk manzili va aniq moliyaviy koʻrsatkichlar keltirilgan investor hisoboti hamda oʻnlab xodimning taʻtil jadvali.
Sahifalar boshqa ochiq manbada ham bor edi: urlscan.io ommaviy skanerlash xizmatida Muse ulashish sahifalarining 75 dan ortiq saqlangan skani topildi — havolalar hech qanday hisob yoki kirishsiz ochiq edi. Claroc tadqiqotida qayd etilishicha, havolaga ega har qanday odam hisob ochmasdan sahifani koʻra oladi.
Ochilgan bir necha yuz sahifa ichida topilgan materiallar tasodifiy fayllar emas — bular aniq shaxslar va kompaniyalarga tegishli, ommaga moʻljallanmagan hujjatlar: kredit arizasidagi soʻralgan summa, bosh direktor uchun belgilangan ichki daromad sharhi, vazifalar roʻyxatidagi qisman hisob raqami. Claroc ularni olti toifaga ajratgani shuni koʻrsatadiki, bitta ochiq kashfiyot kanali orqali topilgan namunaning oʻzi shaxsiy va biznes sirlarining qanchalik keng tarqalganini tasvirlaydi.
Tasodifiy ID nega himoya qilmadi
Manzildagi tasodifiy ID ataylab taxmin qilib boʻlmaydigan darajada uzun qilingan. Lekin Claroc qayd etishicha, taxmin qilish hech qachon muammo boʻlmagan: havola birinchi marta ochilganda brauzer xost nomini DNS orqali aniqlaydi va passiv-DNS xizmati butun nomni — sarlavha va ID bilan birga — yozib oladi. ID faqat maxfiy qolguncha sir boʻladi, xost nomi esa sir emas.
Tadqiqotchilarning oʻzlari taʻkidlashicha, bu raqam Muse ulashishlarining umumiy koʻlamini oʻlchamaydi: bu faqat bitta kashfiyot kanali — bitta xost nomi namunasi orqali qisqa muddatda topilgan natija, shuning uchun haqiqiy koʻlam bundan kattaroq boʻlishi mumkin.
"Biz ularni "GhostShares" deb ataymiz: havolasi berilmagan odamlar ham ochadigan va oʻzlari mustaqil topa oladigan sahifalar." — Claroc tadqiqotchilari
Meta funksiyani toʻxtatdi
Claroc topilmalarni 8-oktabr kuni Metaʻning xatolik mukofoti (bug bounty) dasturi orqali xabar qilgan, LinkedIn orqali Meta xodimlariga ham murojaat qilgan — javob boʻlmagan. Ars Technica tadqiqot haqida xabar berganidan keyingina Meta suhbat ulashish funksiyasini vaqtincha toʻxtatganini maʻlum qildi.
Bu xulosa Meta bosh direktori Mark Zuckerbergning oʻtgan oygi bayonotiga soya soladi — u Muse "maxfiylik va xavfsizlik asosida noldan yaratilganini" aytgan edi.
