Services
La faille de sécurité affecte l'Open Graph, le nouveau système de personnalisation instantanée de sites Web partenaires. Il s'agit de la deuxième faille découverte en moins de deux semaines, qui menace la confidentialité des données personnelles des membres de Facebook.
La faille en question était présente dans le site Yelp, l'un des trois sites partenaires de Facebook dans le cadre du lancement de l'Open Graph (les deux autres sites partenaires sont Pandora et Docs.com). Un pirate malintentionné a injecté du code malicieux dans Yelp, ce qui lui a permis de mettre la main sur une clé numérique l'autorisant à décrypter certaines données personnelles des internautes, transmises par Facebook à ses sites partenaires.
Lorsqu'un membre de Facebook navigue sur l'un de ces trois sites partenaires, ces derniers ont accès à quelques données personnelles telles que sa localisation géographique, son âge, son adresse courriel, ses préférences et recommandations, etc. Facebook leur envoie ces données de façon cryptée.
Les données personnelles partagées permettent aux partenaires de proposer une navigation et du contenu personnalisés à l'internaute, en tenant compte de sa localisation, par exemple.
Facebook a corrigé la faille en moins de deux heures, mais elle révèle néanmoins la fragilité en matière de sécurité et de confidentialité de l'Open Graph de Facebook. En effet, cette faille n'est apparue que quelques semaines après le lancement de cette personnalisation instantanée de trois sites, survenu le 21 avril.
En effet, plusieurs autres sites Web ont montré leur intérêt à embarquer dans l'Open Graph, ce qui aura pour conséquence d'augmenter la probabilité qu'une faille similaire présente sur leur site soit exploitée par un pirate.
Voir:
Facebook: une faille de sécurité majeure permet d'afficher le clavardage de vos contacts
Faille de sécurité: Facebook rétablit la fonction de clavardage
L'Open Graph: «la plus importante transformation apportée au Web par Facebook»
Open Graph: Facebook déclare la guerre sémantique à Google
par Aude Boivin Filion
