Spotify-accounts gekaapt via unicode-karakters
De populaire muziekdienst Spotify is trots dat het gebruikersnamen met unicode karakters ondersteunt, iets wat niet veel online diensten doen, maar het zorgde er ook voor dat kwaadwillenden accounts van anderen konden overnemen. Unicode is een internationale standaard voor de codering van binaire codes naar grafische tekens en symbolen, vergelijkbaar met de ASCII-standaard.
De standaard voorziet alle tekens en symbolen ("karakters") van alle geschreven talen van een nummer. Enige tijd geleden werd er op het Spotify-forum melding gemaakt van een lek waardoor het mogelijk was accounts van gebruikers over te nemen. Een forummanager daagde de gebruiker uit die het probleem had ontdekt en werd inderdaad gehackt.
Registratie
Het probleem werd veroorzaakt door de manier waarop Spotify met geregistreerde gebruikersnamen omging. Gebruikers konden gebruikersnamen registreren die al door andere gebruikers waren geregistreerd. Vervolgens gingen ze naar de wachtwoord-vergeten optie en kregen ze een resetlink voor het gelijknamige account van de andere gebruiker.
In het geval van Spotify was het bijvoorbeeld mogelijk om het account 'bigbird' over te nemen door een account 'BIGBIRD' te registreren. De muziekdienst had wel een functie die dit moest voorkomen, maar die bleek niet goed te functioneren als er unicode karakters werden gebruikt.
Spotify legt in een blogposting uit hoe het probleem precies ontstond en het uiteindelijk werd verholpen. De twee gebruikers die het probleem rapporteerden kregen een aantal maanden Spotify premium als cadeau.
Zelfs met het toch behoorlijk ingeperkte IDN (unicode voor domeinnamen) kan je al behoorlijk rotten. Je wil niet weten wat er met het volledige unicode allemaal kan. Wat dat betreft is unicode gewoon niet zo vreselijk geschikt voor algemeen gebruik. Het kan teveel, wil teveel, en eet van veelteveel walletjes tegelijk.
Zelfs met het toch behoorlijk ingeperkte IDN (unicode voor domeinnamen) kan je al behoorlijk rotten. Je wil niet weten wat er met het volledige unicode allemaal kan. Wat dat betreft is unicode gewoon niet zo vreselijk geschikt voor algemeen gebruik. Het kan teveel, wil teveel, en eet van veelteveel walletjes tegelijk.
Maar unicode is leuk, dat dan weer wel.
Of bedoel je meer voor de eindgebruiker, die het vast handig vindt om zowel een griekse Omega als een identiek eruitziend Ohmsymbool tot de beschikking te hebben? Wat zeg maar ook reuze handig is als zulke tekens in wachtwoorden terechtkomen, ik noem maar iets.
Waar zit trouwens die sneeuwman op het toetsenbord? Hoe kom ik anders bij (sneeuwman).net? Ik wil ook bij de leuke kant van het internet, potmetdriedubbeltjes!
Deze posting is gelocked. Reageren is niet meer mogelijk.
Ketenregisseur Gedigitaliseerde Criminaliteit en Cybercrime
Ben jij er klaar voor om de leiding te nemen in het bevorderen van de regionale samen-werking in de strijd tegen gedigitaliseerde criminaliteit en cybercrime? Samen met collega's, politie en regionale en landelijke partners? Dan is de dynamische rol van Ketenregisseur Gedigitaliseerde Criminaliteit en Cybercrime bij het Regionaal Samenwerkingsverband Integrale Veiligheid (RSIV) jouw op het lijf geschreven!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Cyber Security Trainer
"You know that feeling after you have been to the cinema and seen an exciting movie? It's the same after this training. I can only say that this is probably the BEST TRAINING that I've ever done!!!”
Are you ready for a challenge?
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.