ٹویٹر بگ ٹویٹر پر ایپلیکیشن سیکیورٹی کی سطح کو تبدیل کرتا ہے

ایک سیکیورٹی محقق نے ٹویٹر کے کوڈ میں ایک مسئلے کا انکشاف کیا جس کے نتیجے میں کچھ تیسرے فریق کی درخواستوں کو صارف کی واضح منظوری کے بغیر نجی براہ راست پیغامات تک رسائی حاصل ہوسکتی ہے۔

بہت ساری ویب ایپلی کیشنز صارفین کو دوسرا اکاؤنٹ بنانے کے بجائے اپنے ٹویٹر اور فیس بک اکاؤنٹ کا استعمال کرکے سائن ان کرنے کی اجازت دیتی ہیں۔ یہ صارفین کے لئے آسان ہے اور ایپلی کیشن ڈویلپرز سوشل نیٹ ورکنگ سائٹ پر موجود صارف کے ڈیٹا تک رسائی حاصل کرسکتے ہیں۔ IOActive کے ساتھ سیکیورٹی کے محقق سیزر سیروڈو نے اس خامی کو ٹھوکر کھائی جس میں ان ایپلی کیشنز کو اپنی اعلی سطح تک رسائ حاصل کرنا چاہئے۔

آئی او ایکٹیو لیبز ریسرچ بلاگ پر ایک پوسٹ میں ، سیروڈو نے بتایا کہ وہ کس طرح ایک ویب ایپلی کیشن (جس کی ترقی جاری ہے) کی جانچ کر رہے ہیں جس سے صارفین کو ٹویٹر یا فیس بک کے ساتھ سائن ان کرنے کی اجازت دی گئی۔ "سائن ان" صفحے پر ، سیرروڈو نے دیکھا کہ یہ ایپلی کیشن اپنے عوامی ٹویٹس کو دیکھنے ، اس کے اکاؤنٹ پر پوسٹ کرنے ، اپنے فالورز کو دیکھنے ، نئے لوگوں کی پیروی کرنے ، اور پروفائل میں تبدیلی کرنے کے قابل ہوگی۔ صفحہ میں یہ بھی واضح طور پر کہا گیا ہے کہ درخواست میں اس کے براہ راست پیغامات یا اس کے پاس ورڈ تک رسائی نہیں ہوگی۔

سیرروڈو نے لکھا ، "ظاہر کردہ ویب پیج کو دیکھنے کے بعد ، مجھے اعتماد تھا کہ ٹویٹر ایپلی کیشن کو میرے پاس ورڈ اور براہ راست پیغامات تک رسائی نہیں دے گا۔ مجھے لگا کہ میرا اکاؤنٹ محفوظ ہے ، لہذا میں نے سائن ان کیا اور اس ایپلی کیشن کے ساتھ کھیلا۔"

اجازت کی سطح کو تبدیل کرنا

سیروڈو نے کہا کہ ایپلی کیشن میں براہ راست پیغامات کو ظاہر کرنے کی صلاحیت موجود تھی ، لیکن ٹویٹر نے اس عمل کو کامیابی کے ساتھ انجام دینے سے روک دیا کیونکہ اس میں صرف "پڑھنے ، لکھنے" کی اجازت ہے۔ اگر ایپلی کیشن نجی پیغامات کو ڈسپلے کرنا چاہتی ہے تو ، درخواست کو "اختیار والے ایپ" کے صفحے کے ذریعے اعلی سطح تک رسائی کی درخواست کرنے کی ضرورت ہوگی۔

تاہم ، درخواست اور ٹویٹر سے کچھ بار لاگ ان اور آؤٹ ہونے کے بعد ، درخواست نے اپنے براہ راست پیغامات کی نمائش شروع کردی۔ سیرروڈو نے کہا کہ سیروڈو نے درخواست کی ترتیب چیک کی اور دیکھا کہ اچانک اس نے "پڑھیں ، لکھیں اور براہ راست پیغامات دیکھیں" اجازت نامے پڑ گئے۔ اس نے دعوی کیا کہ اس نے کبھی بھی اختیار والے ایپ کا صفحہ نہیں دیکھا۔

سیروڈو نے لکھا ، "اس نے اختیارات حاصل کیے بغیر ہی کیا ، اور ٹویٹر نے اس کے بارے میں کوئی پیغامات ظاہر نہیں کیے۔ تیسرے فریق کی درخواستوں کے لئے صارف کے ٹویٹر کے براہ راست پیغامات تک رسائی حاصل کرنا آسان طریقہ تھا۔"

سیرروڈو یہ نہیں جان سکے کہ ایسا کیوں ہو رہا ہے اور ٹویٹر کو مطلع کیا گیا ہے۔ سیکیورٹی ٹیم نے فوری طور پر جواب دیا اور مسئلہ کو بند کردیا ، لہذا درخواستوں کو مزید مراعات حاصل کرنے میں من مانی نہیں ہونا چاہئے۔ تاہم ، اس نقص کو ٹھیک کرنے کا مطلب یہ نہیں ہے کہ ٹویٹر کی سیکیورٹی کی ترتیبات کو نظرانداز کرنے والی کسی بھی درخواست کو اصل اجازت کی سطح پر دوبارہ ترتیب دیا گیا۔

سیروڈو نے لکھا ، "سکیورٹی فکس کے بعد ، میں نے جس درخواست کی جانچ کی تھی اس کے پاس براہ راست پیغامات تک رسائی تھی جب تک کہ میں اسے منسوخ نہیں کروں گا۔"

اپنی درخواستوں کو چیک کریں

آپ کو وقتا فوقتا ایسی ایپلیکیشنز کی فہرست کا آڈٹ کرنا چاہئے جن میں آپ کے ٹویٹر اور فیس بک اکاؤنٹس تک رسائی حاصل کرنے کی اجازت ہے تاکہ یہ یقینی بنایا جاسکے کہ کوئی غیر متوقع حیرت نہیں ہے۔ اس بات کو یقینی بنانے کے ل Check چیک کریں کہ جو بھی ایپلیکیشنز مجاز ہیں وہ وہ ایپلیکیشن ہیں جو آپ نے شامل کیں ، اور اب بھی درکار ہے۔ کسی بھی چیز کو چھوڑ دو جسے آپ اب استعمال نہیں کرتے ہیں۔ نیز ، ترتیبات مناسب ہیں اس بات کو یقینی بنانے کے لئے اجازت کی سطح کی جانچ کریں۔

ٹویٹر پر ، آپ اسکرین کے اوپری حصے میں تلاش کے خانے کے ساتھ والے گیئرز آئیکون پر کلک کر کے ترتیبات منتخب کرسکتے ہیں۔ ایپس (اسکرین کے بائیں جانب) پر انتخاب کرنے کے بعد ، آپ کو وہ تمام ایپس نظر آئیں گی جن کے پاس آپ کے اکاؤنٹ تک رسائی ہے ، اور جب اسے شامل کیا گیا تھا۔ اجازت کی سطح درخواست نام کے بالکل نیچے درج ہیں۔ اگر ان میں سے کوئی بھی فہرست میں شامل نہیں ہونا چاہئے تو ، "کالعدم رسائی" کے بٹن پر کلک کریں۔

فیس بک پر ، آپ اسکرین کے اوپری دائیں کونے میں گیئرز کے آئیکون پر کلیک کرسکتے ہیں اور اکاؤنٹ کی ترتیبات کو منتخب کرسکتے ہیں۔ ایپس (اسکرین کے بائیں جانب) پر انتخاب کرنے کے بعد ، آپ اجازت کی سطح کے ساتھ ، آپ کو وہ تمام ایپلیکیشنز ، گیمز ، پلگ انز اور ویب سائٹ دیکھیں گے جن کے پاس آپ کے اکاؤنٹ تک رسائی ہے۔ اجازتوں کو ایڈجسٹ کرنے کے لئے آپ ترمیم پر کلک کرسکتے ہیں یا اسے مکمل طور پر ختم کرنے کے لئے "x" پر کلک کریں۔

اس میں صرف چند منٹ لگیں گے ، لیکن یہ یقینی بنانے کے قابل ہے کہ تھرڈ پارٹی ایپس آپ کے ذاتی ڈیٹا کو نہیں لے رہی ہیں۔