Parler: erro básico de programação permitiu arquivar o conteúdo do site

Views: 103
0 0
Read Time:3 Minute, 12 Second

O Parler pode ter saído do ar, praticamente varrido da internet depois de ter seus apps e hospedagem suspensos pelo Google, Apple e Amazon. Mas os efeitos da rede social, que teve papel crucial na organização do violento ataque ao capitólio, nos EUA, ainda serão sentidos por muito tempo. Tudo graças a um erro básico de programação e a um conjunto de hackers determinados a preservar informações que podem incriminar centenas, talvez milhares, de norte-americanos por sua participação na insurreição.

Tudo começou quando uma hacker conhecida como @donk_enby no Twitter decidiu arquivar todos os posts no Parler feitos em 6 de janeiro de 2021, dia do ataque, depois que ficou claro que muitos defensores do Presidente Donald Trump usaram a rede para publicar vídeos e fotos de sua participação no evento, basicamente incriminando a si mesmos.

Erro básico expôs usuários do Parler

Mas logo ficou evidente a ela que os desenvolvedores do Parler cometeram um erro básico de programação: cada post e conteúdo postado no site, como fotos e vídeos, recebia um número identificador único. Mas este identificador era sequencial, algo que entre os programadores é conhecido como Insecure Direct Object Reference (IDOR, Referência Insegura e Direta a Objetos).

Simplificando, sabendo a URL pública de um post com o identificador “12345”, por exemplo, basta incrementar o número (12346, 12347, etc.) para acessar todos os posts feitos após ele, ou decrementar (12343, 12344, etc.) para acessar os posts anteriores. Redes sociais de grande porte, como o Twitter, Facebook e Instagram, geram um identificador aleatório para cada post justamente para evitar este tipo de acesso ao conteúdo.

Ou seja, armada com um iPad e um simples script que incrementa sequencialmente uma URL @donk_enby foi capaz de arquivar 99,9% de todo o conteúdo publicamente disponível no Parler.

A hacker faz questão de desmentir boatos de que teria conseguido acessar informações privadas, como cópias das carteiras de motorista dos usuários, que eram necessárias para se registrar na rede. “Tudo o que capturamos estava publicamente disponível na web, só fizemos uma cópia permanente disso”, disse ela.

A empreitada rendeu no total quase 56,7 TB de dados, e só foi possível com a participação de um grupo de hackers, ativistas e pesquisadores de dados conhecido como @archiveteam, que correu para baixar mais de 412 milhões de arquivos, entre eles 150 milhões de fotos e 1 milhão de vídeos, antes que a Amazon tirasse os servidores da rede do ar.

Identificando os agressores

Aqui entram em cena dois outros erros básicos de programação no Parler: o primeiro é que ele não apaga realmente os posts, fotos e vídeos enviados pelos usuários. Eles apenas eram marcados como deletados em um banco de dados para que não aparecessem no site, mas continuavam armazenados nos servidores. Isso significa que mesmo que um usuário tivesse excluído seu perfil após o ataque, para esconder sua participação, seu conteúdo ainda podia ser acessado.

O segundo erro é que o Parler não apagava os metadados das fotos e vídeos enviados pelos usuários. Estes dados incluem informações como a data e hora em que uma imagem foi feita, com que aparelho, quais configurações foram usadas e, mais importante, as coordenadas GPS do local.

Ou seja, com um simples filtro é possível identificar todos os usuários do Parler que estavam presentes no Capitólio no momento do ataque. Kyle McDonald, um “artista de dados” especializado em criar visualizações de conjuntos de informações, foi além e criou um mapa mostrando a origem de 68 mil vídeos no Parler.

“Espero que isso possa ser usado para responsabilizar as pessoas e impedir mais mortes”, disse a hacker ao site Vice. “Acredito que as pessoas têm direito a ter suas próprias opiniões, desde que consigam agir de forma civilizada. Na última quarta-feira vimos o que pode acontecer quando não conseguem”.

FONTE: OLHAR DIGITAL

Previous post Vazamento de dados em compras on-line: as causas mais comuns e como evitá-las
Next post Maioria das empresas quer investir mais em cibersegurança em 2021

Deixe um comentário