JeetBot dodatak izložio Twitch OAuth tokene skoro 31.000 korisnika
Ekstenzija Twitch Enhanced Viewer | JeetBot prosledila je Twitch OAuth tokene skoro 31.000 korisnika na proksi infrastrukturu operatera. Dodatak je na Chrome Web Store-u imao oko 30.000 korisnika pod identifikatorom pnhhdhhcadcjfckjhpmjneldiegbojfb, dok je Firefox Add-Ons izdanje, twitchenhancedviewer@example.com, imalo 604 korisnika.
Socket je utvrdio da su aktuelne verzije v85.x preusmeravale zahteve za Twitch video-plejliste kroz proksi servere pod kontrolom operatera. Token se pri tome nalazio u parametru URL-a &auth=, umesto da ostane zaštićen u komunikaciji korisnika i platforme.
Tokeni su slati uz zahteve za gledanje prenosa
Ekstenzija se predstavljala kao alat za strimere i gledaoce, uz obećanja o 1080p kvalitetu u ograničenim regionima i iskustvu bez oglasa. Da bi preuzela plejlistu, menjala je odredište zahteva ka Twitch hostu usher.ttvnw.net i uz zahtev prosleđivala OAuth token korisnika.
OAuth token je akreditacija nosioca: osoba koja ga poseduje može da deluje u okviru naloga bez lozinke ili drugog faktora prijave. U opisanom slučaju to može obuhvatiti čitanje i slanje privatnih poruka, objavljivanje u četu, pristup podešavanjima naloga i korišćenje kanalnih poena.
Dodatni problem je način prenosa. Parametri u URL-u mogu biti zabeleženi u čistom tekstu u dnevnicima zahteva proksi servera. Socket navodi da se prosleđivanje nije primenjivalo na unapred definisanu listu od deset Twitch kanala, dok je za ostale kanale posmatrani aktivni token slat operateru.
Novija Firefox verzija menja način preuzimanja plejlista
Dokumentacija JeetBot-a navodi da Firefox verzija 85.8.7 više ne šalje korisnički Twitch OAuth token proksi serverima pri pribavljanju plejlista. Za Chrome je navedeno da je ekvivalentna verzija bila u postupku provere. Starije instalacije nastavljaju prethodni prenos sve dok se ne ažuriraju, a privremeno isključivanje dodatka zaustavlja dalji prenos.
Međutim, isključivanje ili ažuriranje ne opoziva tokene koji su već bili poslati. Organizacije čiji zaposleni koriste Twitch naloge za komunikaciju, događaje ili zajednice treba da provere instalirane ekstenzije, uklone ili ažuriraju rizične dodatke i opozovu postojeće sesije kada postoji sumnja na izlaganje akreditacija.
Praktična pouka za upravljanje dodacima
Ovaj slučaj pokazuje da dozvole i mrežno ponašanje ekstenzija zahtevaju isti nivo kontrole kao i druge aplikacije koje obrađuju identitet korisnika. Za poslovanje je razumno voditi evidenciju odobrenih dodataka, pratiti njihova ažuriranja i imati postupak za brzu zamenu ili opoziv pristupnih tokena kada se otkrije nebezbedan tok podataka.