Se Cloudbleed ha interessato un sito che utilizza il login di Facebook, devo reimpostare la mia password di Facebook? [duplicare]

Naviga le tue risposte
0

Ho ricevuto un'email da almeno un sito che dice che usano Cloudflare e a causa del perdita di recente scoperta che sta raccomandando Ho cambiato la mia password sul loro sito.

Ma non ho una password sul loro sito, utilizzo l'opzione "Accedi con Facebook".

Devo reimpostare la mia password di Facebook, o fare qualsiasi altra azione su Facebook per garantire che i dati trapelati non possano essere utilizzati per accedere a nessuno dei miei account? Se devo prendere qualche altra azione, che cos'è e come faccio?

    
posta ShadSterling 01.03.2017 - 01:59
fonte

2 risposte

2

Quando si effettua l'accesso con Facebook, la password viene inviata solo a Facebook e non al sito Web in cui si effettua l'accesso. Il sito in cui si desidera accedere chiede a Facebook chi si è e Facebook fornisce al sito alcune informazioni e un gettone segreto. Chiunque abbia questo token può impersonare te sul sito.

Quindi la tua password di Facebook non è stata trapelata, ma il tuo token potrebbe essere stato. Per revocare il token, puoi revocare l'accesso che l'applicazione ha da dentro Facebook.

    
risposta data 01.03.2017 - 16:37
fonte
1

Non sono positivo, ma penso che tu stia bene senza cambiare la password per un paio di motivi.

  • Non ho visto indicazioni, rapporti o avvisi che l'accesso tramite l'API di Facebook abbia compromesso gli account utente di chiunque
  • La sicurezza di Facebook è molto apprezzata e se fosse presente un rischio immagino che avrebbero revocato in modo proattivo i token di autenticazione / sessione usati
  • L'API utilizzata dal sito Web per l'autenticazione di w / Facebook probabilmente non si trova dietro a Cloudflare, anche se è impossibile sapere senza sapere a quale servizio Web ti riferisci
  • Si pensava che una percentuale estremamente piccola (0,00003%) di richieste fosse trapelata

Detto ciò, non è mai una cattiva idea cambiare la tua password se c'è anche la possibilità che sia stata compromessa per evitare futuri mal di testa.

    
risposta data 01.03.2017 - 02:18
fonte

Leggi altre domande sui tag

È possibile che lo stesso IP venga visualizzato in Gmail anche se l'hacker sta leggendo le mie e-mail? Single Sign-On contro autenticazione NT