Beveiliging Twitter API in opspraak

Nadat eerder al sociale netwerken als Hyves en Facebook te maken hadden met rumoer rond beveiliging en toegankelijkheid van persoonlijke informatie, is het nu de beurt aan Twitter. Gisteren publiceerde weblog OneForty een artikel waarin het uitlegt dat de manier waarop de API van Twitter op dit moment werkt, het voor kwaadwillende developers wel erg makkelijk wordt om misbruik te maken van een account of de direct messages van een gebruiker te lezen. En dat krap 16 dagen na de complete overstap naar een nieuw applicatiesysteem en de volledige integratie van OAuth.

Na lange tijd een redelijke simpele API te hebben aangeboden aan de miljoenen developers wereldwijd, is Twitter het afgelopen jaar druk bezig geweest met het renoveren van de verschillende services. Al geruime tijd maakt het microblog gebruik van een zogenaamd permissie-systeem, dat in combinatie met de integratie van de streng beveiligde OAuth-standaard de best mogelijke bescherming moet bieden aan de gebruiker.

Maar juist in dat permissie-systeem ligt een grote kans voor kwaadwillige developers. Op dit moment biedt het platform slechts twee mogelijkheden wanneer je je account verbindt met een externe service: “read-only” of “read & write”. Waar de eerste optie developers van externe partijen slechts de kans geeft je informatie te lezen, geeft de tweede mogelijheid hen de kans alle mogelijke acties vanuit de API uit te voeren uit jouw naam.

Blogger Mike Champion van OneForty legt uit: “These course-grained levels push most apps to choose “read & write”, in case they want to tweet on the user’s behalf, or make it simple to follow a Twitter account“. De blogger nam de proef op de som en analyseerde de 130 applicaties die hij aan zijn Twitter-account had gekoppeld: “Anecdotally, of the 130 apps & Twitter-integrated websites I’ve approved 91% have full read & write access to my Twitter account, with the other 9% having read-only access.“

Kort door de bocht zou het betekenen dat developers met kwaad in de zin je account zouden kunnen gebruiken om tweets te plaatsen (spam), je direct messages te lezen of direct messages te versturen, je vrienden te ontvolgen of je tweets in het algemeen te verwijderen. 

Hoewel er zich nog geen ernstige incidenten hebben voorgedaan, zal Twitter toch aan de slag moeten met het verfijnen van de permissies én het inzichtelijk maken van de exacte impact van keuzes. Zoals Champion omschrijft: “For as much flak as Facebook has taken for its privacy settings, they are ahead of Twitter in explaining what specific abilities an app will have during approval.“. 

Tijdens een developersbijeenkomst in Tokio, eerder deze maand, leek Twitter echter nog geenzins van plan actie te ondernemen. Natuurlijk komen er een aantal uitdagingen om de hoek wanneer men het platform op dit niveau stevig gaat aanpakken. De vraag is of Twitter kiest voor voorkomen of het op genezen laat aankomen.