Spotify-accounts gekaapt via unicode-karakters
De populaire muziekdienst Spotify is trots dat het gebruikersnamen met unicode karakters ondersteunt, iets wat niet veel online diensten doen, maar het zorgde er ook voor dat kwaadwillenden accounts van anderen konden overnemen. Unicode is een internationale standaard voor de codering van binaire codes naar grafische tekens en symbolen, vergelijkbaar met de ASCII-standaard.
De standaard voorziet alle tekens en symbolen ("karakters") van alle geschreven talen van een nummer. Enige tijd geleden werd er op het Spotify-forum melding gemaakt van een lek waardoor het mogelijk was accounts van gebruikers over te nemen. Een forummanager daagde de gebruiker uit die het probleem had ontdekt en werd inderdaad gehackt.
Registratie
Het probleem werd veroorzaakt door de manier waarop Spotify met geregistreerde gebruikersnamen omging. Gebruikers konden gebruikersnamen registreren die al door andere gebruikers waren geregistreerd. Vervolgens gingen ze naar de wachtwoord-vergeten optie en kregen ze een resetlink voor het gelijknamige account van de andere gebruiker.
In het geval van Spotify was het bijvoorbeeld mogelijk om het account 'bigbird' over te nemen door een account 'BIGBIRD' te registreren. De muziekdienst had wel een functie die dit moest voorkomen, maar die bleek niet goed te functioneren als er unicode karakters werden gebruikt.
Spotify legt in een blogposting uit hoe het probleem precies ontstond en het uiteindelijk werd verholpen. De twee gebruikers die het probleem rapporteerden kregen een aantal maanden Spotify premium als cadeau.
Zelfs met het toch behoorlijk ingeperkte IDN (unicode voor domeinnamen) kan je al behoorlijk rotten. Je wil niet weten wat er met het volledige unicode allemaal kan. Wat dat betreft is unicode gewoon niet zo vreselijk geschikt voor algemeen gebruik. Het kan teveel, wil teveel, en eet van veelteveel walletjes tegelijk.
Zelfs met het toch behoorlijk ingeperkte IDN (unicode voor domeinnamen) kan je al behoorlijk rotten. Je wil niet weten wat er met het volledige unicode allemaal kan. Wat dat betreft is unicode gewoon niet zo vreselijk geschikt voor algemeen gebruik. Het kan teveel, wil teveel, en eet van veelteveel walletjes tegelijk.
Maar unicode is leuk, dat dan weer wel.
Of bedoel je meer voor de eindgebruiker, die het vast handig vindt om zowel een griekse Omega als een identiek eruitziend Ohmsymbool tot de beschikking te hebben? Wat zeg maar ook reuze handig is als zulke tekens in wachtwoorden terechtkomen, ik noem maar iets.
Waar zit trouwens die sneeuwman op het toetsenbord? Hoe kom ik anders bij (sneeuwman).net? Ik wil ook bij de leuke kant van het internet, potmetdriedubbeltjes!
Deze posting is gelocked. Reageren is niet meer mogelijk.
Netwerk Security Engineer
Luchtverkeersleiding Nederland
Als Netwerk Security Engineer ontwerp en optimaliseer je onze technische netwerk- en beveiligingsinfrastructuur. Je stuurt tech-nische veranderingen aan op basis van de gestelde architectuur kaders en helpt mee met de uitvoering ervan. Ben jij een gedreven professional met passie voor netwerk-beveiliging? Dan is deze functie als Netwerk Security Engineer bij Luchtverkeersleiding Nederland (LVNL) iets voor jou!
Lead Network Security Engineer
Luchtverkeersleiding Nederland
Word Lead Network Security Engineer bij LVNL. Ontwerp en implementeer security-oplossingen die de luchtverkeersleidings-systemen veilig houden. Solliciteer nu en draag bij aan onze cyberweerbaarheid! Als Lead Network Security Engineer bij LVNL ben je verantwoordelijk voor het ontwerpen, implementeren en optimaliseren van de netwerkbeveiliging die cruciaal is voor de veilige en efficiënte werking van het luchtverkeersleidingssysteem in Nederland.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?