O Facebook anunciou a implementação do suporte a chaves de acesso (passkeys) em dispositivos iOS e Android. A novidade permite que usuários façam login utilizando métodos biométricos como Face ID, Touch ID, PINs ou chaves de segurança físicas, dispensando o uso de senhas tradicionais.

As chaves de acesso oferecem uma camada extra de proteção, pois exigem acesso físico ao dispositivo, tornando tentativas de invasão remota muito mais difíceis. Além disso, reduzem os riscos de ataques de phishing, já que não há senhas a serem digitadas ou roubadas.

Como configurar o recurso

• A empresa informou que a funcionalidade será expandida ao Messenger nos próximos meses, e que será possível utilizar a mesma chave de acesso para o mensageiro e o login no Facebook.
• As chaves também poderão preencher automaticamente informações de pagamento no Meta Pay, simplificando compras online.
• Para configurar o recurso, basta acessar a nova opção “Chave de acesso” na Central de Contas, dentro das configurações do Facebook.

Leia também:

• Como limitar conteúdo violento nas redes sociais
• 4 maneiras de filtrar conteúdo no Instagram
• Notas da Comunidade no Instagram e Facebook já têm data para começar

Senhas tradicionais ainda vão funcionar

O login com passkey funcionará em dispositivos compatíveis, mas o usuário ainda poderá usar a senha como método alternativo, garantindo acesso mesmo em aparelhos sem suporte ao novo padrão.

O Facebook se junta a outras grandes empresas de tecnologia que já adotaram o recurso, como Apple, Google, Microsoft, Amazon, WhatsApp, PayPal, TikTok, X e GitHub, consolidando o avanço rumo a um futuro sem senhas.

O post Facebook adota chaves de acesso para aumentar segurança no iOS e no Android apareceu primeiro em Olhar Digital.

Pesquisadores descobriram vulnerabilidade no Facebook Messenger para iOS que permitia interromper chamadas em grupo ao manipular reações de emojis.

Segundo o Cyber Security News, a falha, categorizada como um ataque de negação de serviço (DoS, na sigla em inglês), foi identificada pela Signal 11 Research nas versões 472.0.0 e 477.0.0 do aplicativo. Embora a Meta já tenha corrigido o problema, o caso expõe riscos associados a chats em grupo sem criptografia de ponta a ponta (E2EE).

O Messenger, amplamente utilizado globalmente, implementou a E2EE como padrão em conversas e chamadas privadas no final de 2023.

Contudo, chamadas de grupo inicialmente não possuem essa camada de segurança, permitindo o uso de funcionalidades indisponíveis em chats criptografados, como reações de emojis. Foi justamente essa brecha que permitiu a exploração.

Como a falha do Messenger foi explorada

• Por meio de engenharia reversa e análise dinâmica, os pesquisadores identificaram que as reações de emojis em chamadas de grupo eram processadas pelas classes SendEmojiInputModel e ReactionsApi$CProxy. Essas classes transmitiam dados dos emojis aos dispositivos dos participantes da chamada;
• Utilizando ferramentas, como o Frida, os especialistas interceptaram e alteraram o método sendEmoji para enviar emojis inválidos, representados por sequências hexadecimais incompatíveis com caracteres Unicode, como F_fe0fACE_WITH_COLON_THREE. Essa entrada malformada causava falhas nos dispositivos iOS conectados à chamada;
• Enquanto o dispositivo Android usado para enviar o emoji inválido também travava, os demais participantes com Android permaneciam operacionais;
• A falha ocorria porque o Messenger não validava adequadamente os dados recebidos, permitindo que uma entrada corrompida interrompesse a execução do aplicativo nos dispositivos afetados.

Implicações e medidas corretivas

Embora essa vulnerabilidade não permitisse a execução remota de código (RCE, na sigla em inglês), ela demonstrou lacunas na segurança de recursos não criptografados do Messenger.

O problema foi agravado pela randomização do layout do espaço de endereço (ASLR na sigla em inglês), que dificultava o rastreamento do código problemático.

Após a investigação, a Meta implementou correções nas versões mais recentes do aplicativo, reforçando a validação de entrada para reações de emojis. A empresa também recomenda que os usuários atualizem seus aplicativos para evitar possíveis ataques.

Lições aprendidas

A descoberta enfatiza a importância de testes rigorosos, mesmo para recursos aparentemente simples, como reações de emojis. A adoção de E2EE para chats em grupo também é recomendada para reduzir vulnerabilidades em funcionalidades não criptografadas.

Esse incidente sublinha a necessidade de priorizar a segurança em cada detalhe de aplicativos amplamente utilizados, protegendo tanto a experiência do usuário, quanto a integridade do sistema.

O que diz a Meta

O Olhar Digital entrou em contato com a Meta e aguarda retorno.

Matéria em atualização

O post Facebook Messenger do iOS tem vulnerabilidade em chamadas de grupo; entenda apareceu primeiro em Olhar Digital.

Pesquisadores descobriram vulnerabilidade no Facebook Messenger para iOS que permitia interromper chamadas em grupo ao manipular reações de emojis.

Segundo o Cyber Security News, a falha, categorizada como um ataque de negação de serviço (DoS, na sigla em inglês), foi identificada pela Signal 11 Research nas versões 472.0.0 e 477.0.0 do aplicativo. Embora a Meta já tenha corrigido o problema, o caso expõe riscos associados a chats em grupo sem criptografia de ponta a ponta (E2EE).

O Messenger, amplamente utilizado globalmente, implementou a E2EE como padrão em conversas e chamadas privadas no final de 2023.

Contudo, chamadas de grupo inicialmente não possuem essa camada de segurança, permitindo o uso de funcionalidades indisponíveis em chats criptografados, como reações de emojis. Foi justamente essa brecha que permitiu a exploração.

Como a falha do Messenger foi explorada

• Por meio de engenharia reversa e análise dinâmica, os pesquisadores identificaram que as reações de emojis em chamadas de grupo eram processadas pelas classes SendEmojiInputModel e ReactionsApi$CProxy. Essas classes transmitiam dados dos emojis aos dispositivos dos participantes da chamada;
• Utilizando ferramentas, como o Frida, os especialistas interceptaram e alteraram o método sendEmoji para enviar emojis inválidos, representados por sequências hexadecimais incompatíveis com caracteres Unicode, como F_fe0fACE_WITH_COLON_THREE. Essa entrada malformada causava falhas nos dispositivos iOS conectados à chamada;
• Enquanto o dispositivo Android usado para enviar o emoji inválido também travava, os demais participantes com Android permaneciam operacionais;
• A falha ocorria porque o Messenger não validava adequadamente os dados recebidos, permitindo que uma entrada corrompida interrompesse a execução do aplicativo nos dispositivos afetados.

Implicações e medidas corretivas

Embora essa vulnerabilidade não permitisse a execução remota de código (RCE, na sigla em inglês), ela demonstrou lacunas na segurança de recursos não criptografados do Messenger.

O problema foi agravado pela randomização do layout do espaço de endereço (ASLR na sigla em inglês), que dificultava o rastreamento do código problemático.

Após a investigação, a Meta implementou correções nas versões mais recentes do aplicativo, reforçando a validação de entrada para reações de emojis. A empresa também recomenda que os usuários atualizem seus aplicativos para evitar possíveis ataques.

Lições aprendidas

A descoberta enfatiza a importância de testes rigorosos, mesmo para recursos aparentemente simples, como reações de emojis. A adoção de E2EE para chats em grupo também é recomendada para reduzir vulnerabilidades em funcionalidades não criptografadas.

Esse incidente sublinha a necessidade de priorizar a segurança em cada detalhe de aplicativos amplamente utilizados, protegendo tanto a experiência do usuário, quanto a integridade do sistema.

O que diz a Meta

O Olhar Digital entrou em contato com a Meta e aguarda retorno.

Matéria em atualização

O post Facebook Messenger do iOS tem vulnerabilidade em chamadas de grupo; entenda apareceu primeiro em Olhar Digital.