'DNS LinkedIn gekaapt, cookies onversleuteld verstuurd' *update*
Door nog onbekende redenen zijn de DNS-gegevens van LinkedIn.com aangepast, waardoor gebruikers de website niet meer konden bezoeken, maar volgens Bryan Berg van App.net was de potentiële impact voor gebruikers veel groter. Het Domain Name System (DNS) is vergelijkbaar met het telefoonboek en vertaalt domeinnamen naar IP-adressen.
Wie Linkedin.com in de adresbalk van zijn browser intikt, wordt vervolgens naar de Linkedin-webserver doorgestuurd. De aangepaste DNS-instellingen van LinkedIn.com zorgden er echter voor dat gebruikers naar een andere server van een andere partij werden doorgestuurd.
Cookies
Volgens Berg is de DNS van de zakelijke sociale netwerksite gekaapt geweest. Vervolgens werden gebruikers doorgestuurd naar een netwerk dat door confluence-networks.com werd gehost. "En zij vereisen geen SSL, dus als je [LinkedIn] probeerde te bezoeken, dan verstuurde je browser je sessiecookies onversleuteld", laat Berg weten.
Een aanvaller die deze sessiecookie bemachtigt zou op het account van een ander kunnen inloggen. LinkedIn laat via Twitter weten dat het met een DNS-probleem te maken heeft gehad en de website inmiddels voor gebruikers weer toegankelijk wordt. Verdere details over wat zich heeft voorgedaan ontbreken echter.
Update 12:44
LinkedIn laat in een verklaring tegenover Security.NL weten: "Vanmorgen was LinkedIn.com gedurende een korte tijd niet bereikbaar voor een groot deel van onze leden. Het bedrijf dat ons domein beheert liet ons weten dat dit door een fout van hun kant werd veroorzaakt. Ons team heeft het probleem snel kunnen verhelpen en de site werkt weer zo goed als naar behoren."
Maar nee, Bryan Berg heeft het over "long-lived session cookies", aangelogd blijven via een persistente cookie dus. Dat ze die optie bieden is onderdeel van het opgetreden probleem, wat voor fout het bedrijf dat het domein beheert ook heeft gemaakt. Ze scheppen daarmee zelf de situatie dat een cookie via een DNS-verandering naar een andere server gestuurd kan worden.
https://www.owasp.org/index.php/HTTP_Strict_Transport_Security#Browser_Support
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
