Beveiligingslek in AOL Instant Messenger

News.com schrijft dat een stel crackertjes een gat hebben gevonden in de registratieprocedure van AOL's Instant Messenger (toch niemand die dat gebruikt, althans hier in NL). De zogenaamde hackers blijken van minderjarige leeftijd te zijn en gebruiken het door hun ontdekte beveiligingslek om allerlei ongein uit te halen...

A small band of hackers has discovered a way to take over any AOL Instant Messenger (AIM) account as long as they have a person's screen name. By using an AOL staff tool they unearthed while poking around the company's proprietary online service, they exploit a public hole in the AOL 5.0 registration process that lets them reset AIM users' passwords.

Once the hackers do this handiwork, initial users of the screen names are locked out of their accounts, giving the hackers open access to users' buddy lists of other AIM users and the ability to maintain trial AOL 5.0 accounts under the same screen names, as confirmed by CNET News.com.

[...] The teen-age hackers who found the hole in AOL 5.0 say they have stolen more than a hundred names, such as "New York City." Some use the names they've seized to extract information about the person from friends and family. Mostly the ploy is a game.

"We do it if we've seen someone we don't like in a private chat room," one of the hackers said in an interview.

At one point, the high school senior said he tried to let AOL know about the hole. "If AOL would just listen to people like us instead of blowing us off and terminating our accounts, they could fix it," he said.

Reacties (6)

[JeroenB]

Eigenlijk is dit wel gerechtigheid. Ik zal uitleggen waarom: een tijdje geleden heeft AOL om mee te doen aan de Free Software en OpenSource hype de protocollen van hun messenger-software vrijgegeven. Wat ze alleen niet hadden verwacht, was dat zowel Yahoo als Microsoft een kleine twee weken later ook op de proppen kwamen met hun eigen messengers - die compatible waren met die van AOL! AOL was woest en begon een nogal asociale compagne: steeds hun software en protocollen bijstellen om het maar niet compatible te laten zijn met de (op dat moment nog veel minder in gebruik genomen) versies van Yahoo en MS. Uiteindelijk hadden ze zelfs een bufferoverflow in hun eigen software gebruikt om de concurrentie te slim af te zijn. De rechter dwong ze toen om hun acties te staken: ze hadden immers zelf de aanzet gegeven voor third-party versies. Nu ontdekken ze dat beveiligingslekken ook minder leuke kanten hebben

[Verwijderd]

JeroenB: helemaal mee eens, veranderingen maken alleen om niet compatible te zijn met de concurrenten is niet wenselijk. Het maakt niet uit wie het doet, deze keer AOL volgende keer een ander bedrijf. Vaak worden de veranderingen netjes verborgen in een nieuwe versie.

Toch kun je ook enig begrip hebben, immers er wordt ook geld in gestoken in de ontwikkeling van die software. Dus verdediging tegen concurrenten is niet vreemd.

Dit is een typisch voorbeeld van een nadeel van het open-source principe. Het is te makkelijk na te maken en te moeilijk te beschermen met patenten. Ik heb het al wel eens vaker gezegd. Open source en het hele free-software gebeuren zou gestimuleerd moeten worden door de overheid. Omdat het makkelijk na te maken is en omdat patenten niet werken.

De kosten kunnen dus moeilijk terug worden verdient terwijl er juist kennis wordt vrij gegeven. Die door iedereen toegankelijk is.

Belasting op gepatenteerde en/of closedsource software is misschien een mogelijkheid op het te realiseren.

Het verplicht stellen van ondersteuning van standaards door de grote bedrijven (kunnen het vaak wel betalen) is misschien ook een mogelijkheid.

[botoo]

dit soort mededelingen hoort eigenlijk niet onder "nieuws" te staan, hooguit onder "ouds" of "meer van hetzelfde"

het zal eens niet....

[Burat]

Hoe kan het nou dat een gerennommeerd bedrijf als AOL (niet dat de meesten van ons er een hoge dunk van hebben, maar ok) een gat in z'n software heeft zitten dat een stel tieners per ongeluk ontdekken?? Ze waren volgens het bericht gewoon een beetje aan het poken..

[Verwijderd]

Hoe dat kan? Schijnt dus niet zo moeilijk te zijn. Er wordt alleen een beetje minachtig gedaan over die jongens. Als iemand een security hole vind met een of ander hoge beveiligings titel, dan is het oppeens een waanzinnige fout, en die gozer een held.

[HighLander]

Leuk, oefenmateriaal moet er zijn,anders sterft het hackersrasje helemaal uit.
Mede dankzij MicroSoft, blijft er mogelijkheid om te trainen.

Zelf zal ik helaas nooit het niveau halen, maar ik hou van de film hackers (Cool Zero and Acid Burn make a nice couple).
Hoeveel bedrijven zouden er zijn die software zo goed testen dat er geen enkel beveiligingslek in zit, bugjes mogen best, als de beveiliging maar goed is.

NIEMAND, maar ach.... ik heb er geeen last van.

Zal een paar lui die het wel gebruiken er attent op maken..

:)/\/\@ZZ€L$