Dyrk.org - Do You Really Know

Une fois n’est pas coutume, et malgré les efforts acharnés de Facebook pour changer cette image … sa politique en matière de « donnée privée » est de nouveau remise en cause …

Pour vous mettre, bien dans le contexte, j’étais entrain de réaliser un proof of concept (une preuve), permettant de démontrer comment … à distance, deviner, si une personne est connectée ou non,  à son compte Facebook.
Pour cela, je suis parti de l’hypothèse qu’une photo avec des droits restreints … n’était normalement pas consultable depuis un autre compte, et surtout pas en  « publique » !

Aussi, pour réaliser ce « poc » (proof of concept), j’ai récupéré l’url (l’adresse) d’une image normalement « restreinte » à un petit groupe de personnes …

Puis j’ai commencé à écrire un script  ….

var hack = document.createElement('img');
hack.src = "https://scontent-ams3-1.xx.fbcdn.net/v/t1.0-9/....983321788_n.jpg";
hack.addEventListener('load', function(){ alert("Je sais que tu es connecté"); });
document.getElementsByTagName('html')[0].appendChild(hack);

… tout fier, et plutôt sûr de moi …
J’ai voulu le tester en me connectant en « navigation privée » (sans cookies, ni autres données permettant de m’identifier).

L’utilisation de la « navigation privée« , était là pour simuler un utilisateur non connecté à Facebook …

Sauf que je parvenais malgré tout à afficher l’image !!!! Tout en étant non « connecté »

J’ai récidivé sur des images uniquement consultables par moi …

Et devinez quoi ?

Pareil, le lien vers l’image était toujours valide …
On aurait pu imaginer un contrôle de l’utilisateur sur l’affichage des images sur Facebook … mais non …

Qu’est-ce que ça signifie ?

Que mon script est obsolète … mais ça tout le monde s’en fout …
Plus concrètement ça signifie que n’importe qui dans vos amis, peut partager un lien vers vos images, et donc partager vos images …
Bien entendu, même si Facebook contrôlait l’utilisateur, ça n’empêcherait pas les captures d’écran … ou l’enregistrement des images …

Sécurité 0

Désactiver le clic droit sur les images, contrôler les utilisateurs qui consultent les images et SURTOUT ne pas laisser le contenu « privé » accessible à des utilisateurs non inscrits ….
Récupération des images par des requêtes POST + vérification de l’origine de la requête …
Quelques mesures qui iraient probablement dans le bon sens quant à la vie privée des personnes inscrites sur Facebook

Conclusion

Faites vraiment attention à ce que vous partagez sur Facebook, et surtout avec qui vous le partagez ….
Le lien vers l’image que vous partagerez contient des tokens (données qui vous identifient) …

La personne qui consultera ce lien, pourra la voir comme si elle était vous … sans autre forme de contrôle