خطای امنیتی متا میوز اسرار شخصی و کاری هزاران کاربر را در اینترنت فاش کرد

پژوهشگران امنیتی گزارش داده‌اند که «میوز» (Muse)، ایجنت هوش مصنوعی همه‌منظوره و جدید شرکت متا، هنگام اشتراک‌گذاری گفت‌وگوها از طریق پیوندهای وب، اطلاعات حساس و محرمانه کاربران را در معرض دید عموم قرار می‌دهد.

میوز نیز مانند بسیاری از سرویس‌های آنلاین به کاربران امکان می‌دهد جستجوها، مکالمات، تصاویر و محتواهای مشابه را با دیگران به اشتراک بگذارند. این قابلیت معمولاً با کلیک روی یک گزینه و ایجاد یک نشانی وب (URL) اختصاصی کار می‌کند؛ نشانی منحصربه‌فردی که هر فردی با داشتن آن می‌تواند صفحه حاوی گفت‌وگو را باز کند. برای جلوگیری از دسترسی افراد غیرمجاز به اطلاعات حساس، این نشانی‌ها معمولاً از رشته‌ای طولانی و تصادفی از حروف و اعداد تشکیل می‌شوند تا حدس زدن آنها عملاً غیرممکن باشد.

تنها یک جستجوی ساده برای افشای اطلاعات کافی است

مارک زاکربرگ، مدیرعامل متا، ماه گذشته ادعا کرده بود که میوز «از پایه با محوریت امنیت و حریم خصوصی طراحی شده است» و به‌نظر می‌رسید این ایجنت تدابیر امنیتی مشابه‌ای را به کار بسته است. با این حال، یک تصمیم اشتباه در شیوه ساخت نشانی‌های وب، کشف این لینک‌ها را برای دیگران بسیار آسان کرده است. در پی این ماجرا، محققان شرکت امنیتی کلاروک (Claroc) اعلام کردند موفق به شناسایی و فهرست‌کردن ۶٬۸۰۰ لینکی شده‌اند که کاربران میوز برای اشتراک‌گذاری گفت‌وگوهای خود ساخته بودند. پژوهشگران پس از بررسی چندصد مورد از این لینک‌ها، اطلاعات حساسی را مشاهده کردند که هرگز قرار نبود در دسترس عموم قرار گیرد؛ از جمله:

• یادداشت‌های یک متقاضی کار برای آمادگی در مصاحبه شغلی محرمانه مدیریتی در یک آزمایشگاه پیشرو هوش مصنوعی، شامل نام رابط داخلی آزمایشگاه و زمان دقیق جلسه
• گزارش داخلی بررسی درآمدهای یک شرکت بازاریابی سراسری که خطاب به مدیرعامل تنظیم شده بود
• فرم درخواست وام یک کسب‌وکار کوچک به‌همراه مبلغ دقیق درخواستی
• فهرست کارهای روزمره‌ای که هشدار کلاهبرداری بانکی، بخشی از شماره‌حساب، مبلغ تراکنش و زمان وقوع آن را در خود داشت
• گزارش عملکرد داخلی یک سرمایه‌گذار املاک، شامل آدرس دقیق دو ملک به‌همراه ارقام سود، درآمد و اقساط وام مسکن
• تقویم سالانه مرخصی کارکنان یک مجموعه کاری که برنامه زمانی و هفته‌های غیبت ده‌ها کارمند در آن درج شده بود

پژوهشگران در گزارش خود نوشته‌اند: «اگر پیش از این از ما می‌پرسیدید، حدس می‌زدیم جمع‌آوری چنین داده‌هایی نیازمند زحمت و تلاش زیادی باشد؛ اما این کار تنها با یک کوئری (جستجوی ساده) انجام شد.»

ساده‌ترین روش برای کشف این نشانی‌ها، اجرای یک جستجو در پایگاه‌های «دی‌ان‌اس غیرفعال» (Passive DNS) از طریق سرویس‌های تجاری موجود است. رکوردهای Passive DNS تاریخچه تبدیل نام‌های دامنه به آدرس‌های IP و همچنین اطلاعات سرورهای نام (Nameserver) و سرورهای ایمیل را در طول زمان ذخیره می‌کنند. این سیستم‌ها پاسخ‌های دی‌ان‌اس را از حسگرهایی که در تحلیل‌کننده‌های بازگشتی (Recursive Resolvers) یا سایر زیرساخت‌های شبکه قرار دارند جمع‌آوری می‌کنند. به این ترتیب، به محض اینکه فرد موردنظر کاربر روی لینک اشتراک‌گذاری کلیک کند، اطلاعات دی‌ان‌اس آن در یک پایگاه‌داده قابل جستجو ثبت می‌شود.

محققان کلاروک توانستند پیوندهای اشتراک‌گذاری میوز را به این دلیل بیابند که همگی از دامنه cf.metaaiusercontent.com استفاده می‌کنند. از طرفی، تصمیم طراحان مبنی بر افزودن عنوان گفت‌وگو به ساختار URL (در کنار یک رشته متنی طولانی)، ردیابی آنها را آسان‌تر کرده است. نمونه‌های ساده‌شده این لینک‌ها به این صورت هستند: home-sale-budget-9f21c8a3.cf.metaaiusercontent.com، q3-revenue-review-7b1e42f0.cf.metaaiusercontent.com و loan-application-draft-a4c9e2.cf.metaaiusercontent.com. گنجاندن عنوان چت در ساختار پیوند، دقیقاً همان خطای طراحی است که امکان کشف عمومی این مکالمات را فراهم می‌کند.

شرکت کلاروک توضیح می‌دهد: «دستیارهای هوش مصنوعی متعددی امکان اشتراک‌گذاری با لینک عمومی را ارائه می‌دهند؛ اما آنچه یافتن مکالمات میوز را آسان می‌کند، قرار گرفتن عنوان چت در نشانی وب است؛ جایی که رکوردهای عمومی دی‌ان‌اس آن را ثبت می‌کنند و هر کسی می‌تواند در آنها جستجو انجام دهد. ما این پدیده را "اشتراک‌های شبح‌وار" (GhostShares) می‌نامیم؛ صفحاتی که برای افرادی باز می‌شوند که هرگز لینکی دریافت نکرده‌اند، اما می‌توانند به‌تنهایی آن را پیدا کنند.»

میوز پس از عرضه به‌سرعت به صدر جدول محبوب‌ترین اپلیکیشن‌های اپ استور اپل رسید. این دستیار هوشمند می‌تواند به‌صورت خودکار فرم‌ها را پر کند، قرارهای ملاقات را هماهنگ سازد، خریدهای آنلاین انجام دهد، اسناد گوناگون بسازد و وظایف متنوع دیگری را پیش ببرد. میوز برای ارائه چنین قابلیت‌هایی نیازمند دسترسی به بیشتر حساب‌های کاربری فرد است. متا نیز در کمپین‌های تبلیغاتی گسترده خود، این ایجنت را پلتفرمی معرفی کرده که شایسته این سطح بالای اعتماد است.

با این حال، تنها سه هفته پس از عرضه میوز، پاتریک واردل، متخصص برجسته امنیت سیستم‌عامل مک (macOS)، یک آسیب‌پذیری روز صفر (Zero-day) را کشف کرد که به سایر اپلیکیشن‌های نصب‌شده روی دستگاه اجازه می‌داد کنترل کامل حساب میوز کاربر را در دست بگیرند. متا با این ادعا که سوءاستفاده از این رخنه تنها در صورت آلوده بودن دستگاه امکان‌پذیر است، شدت آسیب‌پذیری را کم‌اهمیت جلوه داد و یافته‌های واردل مبنی بر امکان تصاحب حساب از طریق یک حمله ساده «کلیک‌فیکس» (ClickFix) را نادیده گرفت. اکنون کشف آسان لینک‌های اشتراک‌گذاری، این پرسش اساسی را تقویت می‌کند که آیا واقعاً میوز شایستگی چنین دسترسی‌های گسترده‌ای را دارد؟

نمایندگان متا به پرسش‌های ارسال‌شده از طریق ایمیل پاسخی ندادند. همچنین آصف آپروزپر، هم‌بنیان‌گذار و مدیر ارشد فناوری کلاروک، در ایمیلی اعلام کرد که شرکت او این مسئله را با مدیران متا در میان گذاشته، اما هرگز پاسخی دریافت نکرده است.

آپروزپر نوشت: «پس از بررسی پلتفرم‌های مشابه، مشورت با همکاران این حوزه و بازخوانی مستندات متا میوز، متوجه شدیم این رفتار بخشی از سازوکار طراحی‌شده برنامه است. با این حال، کاربران باید آگاه باشند که هنگام اشتراک‌گذاری یک چت در میوز، پیوندی عمومی ساخته می‌شود که با تکنیک‌های پسیو دی‌ان‌اس به‌راحتی قابل ردگیری و کشف است.»

به همین دلیل به کاربران میوز توصیه می‌شود هنگام به اشتراک گذاشتن لینک‌ها هوشیار باشند، از مطرح کردن اطلاعات شخصی و محرمانه در گفت‌وگوها خودداری کنند و پیوندهای ساخته‌شده را در سریع‌ترین زمان ممکن حذف نمایند.