Debilidad en el proceso de recuperación de cuentas de Instagram en iOS

Entrevista realizada en Radio Sol 91.5, en el programa “UNO en el aire” conducido por Coqui Jorge Toum y Soledad Mizerniuk. Descripción del problema de seguridad detectado ​ La debilidad encontrada se encuentra en el proceso de recuperación de la cuenta de Instagram, siempre que el mismo se realice desde la aplicación móvil del sistema operativo iOS (iPhone, iPad). El problema detectado consiste en que la utilización del token enviado no fuerza el cambio de contraseña (como sí sucede si el usuario intenta recuperar la cuenta vía Web  o desde un dispositivo Android),  sino que permite el ingreso de forma directa,  desde cualquier dispositivo, sin generar alertas o cerrar las sesiones ya iniciadas. ​ Es decir, capturado el token de autenticación en el proceso de recuperación de la cuenta de Instagram -que llega vía mail o vía sms-, puede ser utilizado para iniciar sesiones de forma directa desde cualquier dispositivo, y sin ningún tipo de aviso de seguridad para el titular de la cuenta, sobre el inicio de sesiones en otros dispositivos. Read more

Entrevista realizada en Radio Sol 91.5, en el programa “UNO en el aire” conducido por Coqui Jorge Toum y Soledad Mizerniuk. Descripción del problema de seguridad detectado ​ La debilidad encontrada se encuentra en el proceso de recuperación de la cuenta de Instagram, siempre que el mismo se realice desde la aplicación móvil del sistema operativo iOS (iPhone, iPad). El problema detectado consiste en que la utilización del token enviado no fuerza el cambio de contraseña (como sí sucede si el usuario intenta recuperar la cuenta vía Web  o desde un dispositivo Android),  sino que permite el ingreso de forma directa,  desde cualquier dispositivo, sin generar alertas o cerrar las sesiones ya iniciadas. ​ Es decir, capturado el token de autenticación en el proceso de recuperación de la cuenta de Instagram -que llega vía mail o vía sms-, puede ser utilizado para iniciar sesiones de forma directa desde cualquier dispositivo, y sin ningún tipo de aviso de seguridad para el titular de la cuenta, sobre el inicio de sesiones en otros dispositivos. Read less