نقطه ضعف ساده ولی خطرناک در Skype

به دنبال انتشار اخباری دوباره آسیب پذیر بودن بخش “تنظیم مجدد رمز عبور” (Password Reset) در سرویس Skype، شرکت مایکروسافت اقدام به مسدود ساختن این بخش نمود تا در اسرع وقت آن را ترمیم کند.

اخبار اولیه حاکی از این بود که تنها با اطلاع از نشانی ایمیل یک کاربر که در سرویس Skype ثبت شده است، می توان رمز عبور آن کاربر را در Skype تغییر داد و دسترسی کامل به سرویس آن کاربر پیدا نمود. به دنبال این اخبار، اطلاعات فنی کامل تری بر روی یک سایت روسی ارائه گردید و به فاصله کوتاهی گزارش هایی از عملی بودن اینکار بر روی سایت های خبری و تالارهای گفتگوی مختلف منتشر شد.

سرویس Skype امکان ایجاد یکی “حساب کاربری” (User Account) با یک نشانی ایمیل که قبلاً در یک حساب کاربری دیگر مورد استفاده قرار گرفته، را می دهد. بدین ترتیب کاربر دوم و جدید می تواند وارد حساب کاربری جدید شده و اقدام به تغییر رمز عبور کند. سرویس Skype برای گرفتن تاییدیه از صاحب حساب کاربری، یک ایمیل به نشانی داده شده، می فرستد. در این حالت، چون کاربر دوم یا صاحب حساب کاربری جدید، دسترسی به آن ایمیل را ندارد، می تواند از پیوندی (Link) که در صفحه اصلی Skype در اختیار کاربر گذاشته می شود، تغییر رمز عبور را تایید کند، بدون آنکه نیازی به دریافت ایمیل باشد و بدون آنکه کاربر دوم دسترسی به صندوق ایمیل کاربر اول داشته باشد.

مشخص نیست که افزودن پیوند “تغییر رمز عبور” در صفحه اصلی Skype جهت کمک به کاربر است تا در صورتی که خود درخواست تغییر رمز را نداده، متوجه این اقدام مشکوک شود، یا اینکه، یک خطای برنامه نویسی بوده و این پیوند برای رفع اشکال (Debug) در صفحه اصلی گذاشته شده بوده و باید در مرحله نهایی، برداشته می شد.

شرکت مایکروسافت ضمن تایید این نقطه ضعف ساده ولی خطرناک، اعلام نمود که به محض اطلاع از این موضوع، بخش “تنظیم مجدد رمز عبور” را در Skype غیر فعال کرده و در چهارساعت توانسته اصلاحات لازم را انجام داده و این بخش را دوباره فعال کند. شرکت مایکروسافت همچنین اعلام کرده که با تعدادی محدودی از کاربران که تحت تاثیر سوء استفاده از این نقطه ضعف قرار گرفته اند، در تماس بوده و راهمایی های لازم را ارائه کرده است. با این حال بد نیست، سرویس Skype خود را کنترل کنید.