Beveiliging privéberichten in Twitter is stuk - update

Twitter-applicaties kunnen toegang krijgen tot de privéberichten van een gebruiker, ook als die daarvoor geen toestemming heeft gegeven. Het laagste autorisatieniveau geeft officieel geen toegang tot privéberichten, maar in de praktijk wel.

Als een applicatie aan een gebruiker vraagt om read-only-toegang tot zijn of haar account, wordt  expliciet aangegeven dat de app geen toegang tot de privéberichten van dit account krijgt. De Rotterdamse webdeveloper Simon Colijn ontdekte echter dat hij dan wel degelijk ook privéberichten kon benaderen en tipte Tweakers.net. "Ik was bezig met een nieuw project en ik onderzocht wat ik wel en niet kon met Twitter", zegt Colijn.

Colijn bouwde een applicatie om te bewijzen dat apps toegang krijgen tot informatie die niet benaderbaar zou moeten zijn. "Ik hoefde niets speciaals te doen om privéberichten te bekijken, ik gebruikte gewoon de standaard code", zegt Colijn. Het is onduidelijk hoe lang read-only-apps al privéberichten kunnen inzien.

Derden kunnen met hulp van Twitter-software applicaties voor de microbloggingdienst ontwikkelen. Twitter gebruikt daarbij het oauth-protocol om gebruikers te laten inloggen zonder dat de ontwikkelaar toegang tot wachtwoorden krijgt. Er zijn drie beveiligingsniveaus; het laagste niveau geeft applicaties officieel alleen read only-toegang tot een beperkte set gegevens. Privéberichten horen daar niet bij.

Update, 16:23: Zoals tweaker TvdW aangeeft is het probleem bij Twitter bekend. Hoewel gebruikers al een tijdje wordt verteld dat read only-applicaties geen toegang hebben tot privéberichten, wordt hier in de praktijk niet op gecontroleerd. Als alles volgens planning verloopt, gebeurt dat pas vanaf eind deze maand.

Update, zaterdag 11:40: Twitter heeft het probleem opgelost. Bij het autoriseren van read only-apps wordt aangegeven dat deze pas eind deze maand geen toegang meer hebben tot privéberichten.