Live Nation Entertainment
Recentment, Ticketmaster va haver de corregir una infracció relativament greu que pot conduir a la filtració de les credencials de la targeta de crèdit de diversos milers de clients. Han estat treballant molt per corregir el problema, però un individu creu que ha resolt el que va provocar els atacs en primer lloc.
Kevin Beaumont, un dels principals investigadors de seguretat digital del Regne Unit, creu que sap quin era el vector d’atac. Inbenta havia proporcionat un bot de xat per a administradors de webs que funciona trucant a un fitxer JavaScript des del servidor remot d’Inbenta.
Es va emprar una sola línia d’HTML per anomenar aquest fragment de JavaScript. Beaumont va opinar que Inbent proporcionava a Ticketmaster un únic paquet JavaScript que després podrien haver utilitzat a la seva pàgina de pagament sense que els tècnics d’Inbenta ho notifiquessin. Com que el codi es trobava al lloc de processament de pagaments de Ticketmaster, es va col·locar funcionalment enmig de totes les transaccions amb targeta de crèdit que passen pel lloc.
Segons la teoria de Beaumont, el codi JavaScript es podria executar al navegador d'un client des de la mateixa pàgina on estava la informació de la seva targeta de crèdit. Algú deu haver modificat el codi i li ha donat l'autoritat per fer alguna cosa malintencionada quan ho ha fet.
Les seves investigacions també semblen indicar que les eines anti-malware estaven fent la seva feina. Alguns programes de seguretat van poder començar a marcar l'script diversos mesos abans que els agents de Ticketmaster anunciessin que s'havia produït la infracció. El fitxer JavaScript en si mateix sembla aparentment carregat a algunes eines d’intel·ligència d’amenaces, cosa que és més que probable que van ser capaços de detectar l’incompliment a temps.
Altres experts han expressat la seva preocupació per les dependències de la biblioteca JavaScript i per la seva relació amb aquest tipus d’incompliment. Es fa habitual que els programadors facin servir repositoris de git per resoldre problemes de dependència de tercers per tal d’utilitzar determinats marcs de JavaScript que facilitin la seva feina.
Tot i que es tracta d’un mètode eficient de reutilització del codi, hi ha el risc que algunes d’aquestes dependències puguin tenir alguna cosa maliciosa. Molts d'aquests dipòsits de tant en tant són víctimes de crackers que també els fan un ús indegut, cosa que significa que poden traduir-se en llocs addicionals per obtenir codi no auditat per trobar un camí cap a bases legítimes.
Com a resultat, alguns expressen el desig de prestar més atenció als procediments d’auditoria de codi estrictes per tal de reduir el risc d’aquest tipus de problemes.
Etiquetes seguretat web
