Как взламывается Skype

[dolboeb]

У меня только что взломали Skype с использованием некоей принципиальной уязвимости сервиса, позволяющей третьим лицам получить код для смены пароля к любому аккаунту на произвольно выбранный почтовый адрес. То есть без взлома сервиса и без подбора паролей. Конкретный механизм, позволяющий это сделать, публиковать не хочу, могу лишь

Comments

[sanmai]

Пишут что уже отключили восстановление пароля.

http://habrahabr.ru/post/158545/

[ex_ergil]

А на заборе цоем мел написано.
Работает пока все :(
только смена примари мыла сейчас спасет.

Дыра осталась

[ext_354728]

subj

[dolboeb]

Да, трудно поверить, что такой детский способ позволяет сломать любой аккаунт в системе, которая так кичится своей защищенностью.

[fa_sharp]

Либо вам это внушили. В это немного прощё поверить.

[dolboeb]

Ради Бога.

Я ж поочередно получил все уведомления от сервера Skype - сперва сам token, потом сообщение о смене пароля, потом сообщение о новом адресе email.

То есть я в реальном времени мог наблюдать за тем, какие действия осуществлял взломщик с моим аккаунтом, и в какой последовательности.

Подлинность тех tokens, которые он использовал в процессе, как и факт их использования, мне подтвердил сервер Skype.

Какое уж тут внушение, все задокументировано до запятой.

[dolboeb]

Я не получал никаких предупреждений.

А главное - хули предупреждать, если просто дырку латать надо.
От этого эксплойта нет способа защититься при существующих настройках защиты Скайпа.

[whiskydaily]

Они на пятой неделе после выхода iPhone 5 наконец-торазродились новой версией, в которой так и не появилось поддержки нового дисплея, но зато появился баннер отжирающий прилично места в той части, которую оно умело использовать. Отлично выбрали момент! Сегодня вроде как обновили еще раз, оперативненько!

[skladholodilnik]

C днем рождения! Мира в доме, мира в душе, мира во всем мире, тепла, здоровья, бодрости, энергии!

[fa_sharp]

"на произвольно выбранный почтовый адрес"

"регистрировать аккаунт Skype с такого адреса электронной почты, который нигде не засвечен"

Это, что, китайская грамота? Какой аккаунт не зарегестрируй (по первому утверждению), всё равно получишь йух, пусть он и неизвестен?

[dolboeb]

Если Вы не можете сообразить, в чем состоит эксплойт, то Вам придется поверить мне на слово.

Перехват token возможен лишь в том случае, если взломщик ЗНАЕТ, какой email зарегистрирован у Вас в Skype. Если он этого не знает, то не может выдать себя за владельца аккаунта, и, соответственно, не может заказать token.

Email в Скайпе не публичен, в отличие от логина, но он доступен поиску по базе. От поиска спасает как раз не засвеченный email.

[fa_sharp]

Вы лишь намекнули, про известность адреса почты. И то, как догадка, не факт.

[msav]

Спасибо, поменял адрес (как раз есть один технический) и предупредил друзей.

[iphone5unlocker]

Присоединясь к спасибу!