Spotify-accounts gekaapt via unicode-karakters
De populaire muziekdienst Spotify is trots dat het gebruikersnamen met unicode karakters ondersteunt, iets wat niet veel online diensten doen, maar het zorgde er ook voor dat kwaadwillenden accounts van anderen konden overnemen. Unicode is een internationale standaard voor de codering van binaire codes naar grafische tekens en symbolen, vergelijkbaar met de ASCII-standaard.
De standaard voorziet alle tekens en symbolen ("karakters") van alle geschreven talen van een nummer. Enige tijd geleden werd er op het Spotify-forum melding gemaakt van een lek waardoor het mogelijk was accounts van gebruikers over te nemen. Een forummanager daagde de gebruiker uit die het probleem had ontdekt en werd inderdaad gehackt.
Registratie
Het probleem werd veroorzaakt door de manier waarop Spotify met geregistreerde gebruikersnamen omging. Gebruikers konden gebruikersnamen registreren die al door andere gebruikers waren geregistreerd. Vervolgens gingen ze naar de wachtwoord-vergeten optie en kregen ze een resetlink voor het gelijknamige account van de andere gebruiker.
In het geval van Spotify was het bijvoorbeeld mogelijk om het account 'bigbird' over te nemen door een account 'BIGBIRD' te registreren. De muziekdienst had wel een functie die dit moest voorkomen, maar die bleek niet goed te functioneren als er unicode karakters werden gebruikt.
Spotify legt in een blogposting uit hoe het probleem precies ontstond en het uiteindelijk werd verholpen. De twee gebruikers die het probleem rapporteerden kregen een aantal maanden Spotify premium als cadeau.
Zelfs met het toch behoorlijk ingeperkte IDN (unicode voor domeinnamen) kan je al behoorlijk rotten. Je wil niet weten wat er met het volledige unicode allemaal kan. Wat dat betreft is unicode gewoon niet zo vreselijk geschikt voor algemeen gebruik. Het kan teveel, wil teveel, en eet van veelteveel walletjes tegelijk.
Zelfs met het toch behoorlijk ingeperkte IDN (unicode voor domeinnamen) kan je al behoorlijk rotten. Je wil niet weten wat er met het volledige unicode allemaal kan. Wat dat betreft is unicode gewoon niet zo vreselijk geschikt voor algemeen gebruik. Het kan teveel, wil teveel, en eet van veelteveel walletjes tegelijk.
Maar unicode is leuk, dat dan weer wel.
Of bedoel je meer voor de eindgebruiker, die het vast handig vindt om zowel een griekse Omega als een identiek eruitziend Ohmsymbool tot de beschikking te hebben? Wat zeg maar ook reuze handig is als zulke tekens in wachtwoorden terechtkomen, ik noem maar iets.
Waar zit trouwens die sneeuwman op het toetsenbord? Hoe kom ik anders bij (sneeuwman).net? Ik wil ook bij de leuke kant van het internet, potmetdriedubbeltjes!
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
