Güvenlik firması Claroc'un araştırmacıları, kullanıcıların sohbetlerini paylaşmak için oluşturduğu bağlantıların yapısal bir hatası nedeniyle binlerce özel konuşmanın güvensiz bir şekilde halka açık hale geldiğini tespit etti. Araştırmacılar, bu zafiyyeti kullanarak 6.800'den fazla paylaşım bağlantısını listelemeyi başardı ve bu bağlantılardan bazılarında kişisel verilerin gizliliğinin ihlal edildiğini gözlemledi.
Paylaşım Mekanizmasındaki Tasarım Hatası
Meta CEO'su Mark Zuckerberg'in 'gizlilik ve güvenlik için sıfırdan tasarlandı' dediği Muse, standart bir paylaşım sistemi kullanıyor. Normalde bu tür sistemler, tahmin edilemez uzun karakter dizileri içeren benzersiz URL'ler oluşturarak yetkisiz erişimi engeller. Ancak Muse'ta sohbet başlığının doğrudan URL'nin alt alan adı kısmına (subdomain) eklenmesi, bu güvenlik katmanını zayıflattı. Araştırmacılar, cf.metaaiusercontent.com alan adı altında yapılan pasif DNS sorgulamalarıyla bu bağlantıları kolayca tespit edebildi.
Claroc ekibi, bu yöntemle 'GhostShares' adını verdikleri olguyu ortaya koydu. Bu durum, bağlantıyı asla almayan kişilerin bile bu sayfalara erişebildiği anlamına geliyor. Araştırmacılar, bu verileri toplamak için yoğun bir efor sarf etmeleri gerekirken, tek bir sorgu ile binlerce hassas içerige ulaştıklarını belirtti. Bulunan örnekler arasında bütçe planları, gelir incelemeleri ve kredi başvuru taslakları gibi kişisel ve potansiyel olarak finansal nitelikte veriler yer alıyordu.
Meta'nın Yanıtı ve Erişimin Askıya Alınması
Meta, Ars Technica'nın yönelttiği sorulara verdiği yanıtta, paylaşılan içeriklerin güvenliğini sağlamak için incelemeler yaptıklarını açıkladı. Şirket, raporun değerlendirilmesi ve bağlantıların keşfedilebilirliğini azaltacak değişiklikler yapılması amacıyla paylaşım özelliğini geçici olarak askıya aldığını duyurdu. Claroc'un kurucu ortağı ve CTO'su Asaf Aprozper, bulguları 8 Ekim'de Meta'nın hata primi programı üzerinden bildirdiğini ve şirket yetkilileriyle LinkedIn üzerinden de iletişime geçmeye çalıştığını aktardı.
Muse, Apple'ın App Store'unda hızla popülerleşen yardımcı uygulamalardan biri olarak öne çıkıyor. Asistan, formları doldurma, randevu alma ve satın alma işlemleri gerçekleştirme gibi otonom görevler yerine getirme kapasitesine sahip. Ancak yaşanan bu güvenlik skandalı, yapay zeka asistanlarının veri paylaşım protokollerindeki önceliklerin ne denli kritik olduğunu bir kez daha gözler önüne serdi.
Yorumlar (0)
Henüz yorum yok. İlk yorumu siz yazın.