• Comentario

La seguridad de las redes sociales, en entredicho

• Fecha 19-02-2009
• De Pablo Fernández

El desarrollo de aplicaciones de terceros para estos sitios web ha reducido los niveles de seguridad, tal y como ya ha ocurrido con la última inyección SQL detectada.

Facebook y otras redes sociales como MySpace afrontan la pregunta sobre cómo hacer más seguras las aplicaciones de terceras empresas desarrolladas para utilizarse dentro de estos sitios.

Mientras la noticia sobre la marcha atrás de Facebook con respecto a las condiciones de uso acaparaba todos los titulares ayer, los niveles de seguridad son otro de los elementos importantes en los que los responsables de esta red social han tenido que poner mayor atención.

Efectivamente, estos sitios Web permiten a terceros desarrolladores diseñar aplicaciones y módulos con la finalidad de hacer más completa la experiencia de los usuarios, pero esta iniciativa también incide en un menor control de la seguridad que pueden encontrar en estas redes.

No en vano, se ha descubierto recientemente una inyección SQL en dos aplicaciones distintas dentro del subdominio apps.facebook.com. Tal y como señalan Nir Goldshlager y Rafel Ivgi, especializados en seguridad, “uno de los servidores está corriendo como root, lo que significa que podemos escribir ficheros dentro de la máquina y con grandes posibilidades de ejecutar código en el servidor con derechos de administrador. En estos casos, es posible obtener información acerca de los usuarios ya que la aplicación es capaz de obtener e insertar información maliciosa dentro de la base de datos”.

Por su parte, los responsables de seguridad de Facebook han comentado que arreglar aplicaciones de terceros forma parte del trabajo de los desarrolladores que las han creado.

“Este tipo de aplicaciones están hospedadas en servidores también de terceros”, ha comentado a eWEEK Ryan McGeehan. “Por tanto, el código de estas aplicaciones no se encuentra en los sistemas de Facebook”.

Hay que tener en cuenta que cuando esta compañía recibe un aviso relacionado con algún tipo de vulnerabilidad en terceras aplicaciones, los responsables notifican inmediatamente a los desarrolladores. En algunos casos, incluso se deshabilitan estos módulos hasta se solucionan los problemas.