事件跟蹤：SnapChat“私照門”由第三方泄露引起
責編：admin ｜2014-10-13 13:40:23Snapchat圖片是由使用了被入侵API的第三方Web APP而泄露的。目前為止，被入侵的APP發布了超過100000張的圖片，增加了人們對少兒不宜信息發布的擔憂。
從Snapchat里盜取的大約13GB的照片于周四晚上被張貼到了網上，其中有一些明顯是未成年的裸照，它們是用“短命（ephemeral）”的短信平臺放上網的，大部分照片被放到4chan的討論版里進行討論。
4chan論壇在不久之前曝出了著名的好萊塢艷照門?？紤]到在這些網站上可能會出現販賣一些少兒不宜的東西，4chan關閉了大部分的圖片線程鏈接。但是根據在4chan里的討論，緩存里有超過100000個用戶的圖片和視頻。
很明顯這些圖片不是來自Snapchat自己的網站，而是來自第三方應用程序的數據庫，Snapchat用戶可以在第三方的應用程序上保存圖片和視頻并能通過在線服務器發送出去。在官方的聲明中，Snapchat的發言人說：“我們確定Snapchat的服務器從未被入侵，并且Snapchat也不是這一泄露事件的源頭。在我們公司的服務條款里是明確禁止濫用API泄露用戶信息這一行為，因為它損害了我們用戶的安全。”
據商業內幕報道，4chan的用戶可以下載這些圖片并且創建一個搜索引擎，在這個搜索引擎里直接輸入與圖片相關名字即可搜索出來圖片。http：//lookup.gibsonsec.org/lookup
這一泄漏顯然是由SnapSaved.com造成的（已經下線好幾個月了，是開發者的Facebook頁面）。SnapSaved是為Snapchat建立的Web客戶端，它可以使用戶通過Web瀏覽器訪問snap。但是，根據托管公司HostGator服務器上的DNS記錄顯示，在用戶不知情下這些被認為看完即刪除的照片視頻仍然保存在服務器上。
Snapchat沒有向第三方開發者公布它的API，但可憐的是該應用卻被黑客逆向工程破解了。去年，該公司要求開發者Thomas Lackner從GitHub里刪除一個他開發的名叫Snaphax的PHP庫，原因是它可以使開發者訪問Snapchat的API服務器，并且這一行為違反了數字千年版權法案。Lackner逆向工程了Snapchat官方Android客戶端的API，使得這些代碼還可在GitHub上繼續使用。
基于Lackner的代碼，Snapchat使用128位AES加密圖像和視頻——一個被硬編到客戶端的共享加密密鑰。用于API的密鑰也同樣被硬編進了客戶端。
在IOS和Android系統上有一些應用程序使用逆向工程API連接Snapchat。但沒有任何一個使用云存儲選項或顯示連接SnapSaved.com。
我們已經對Snapchat關于它的API的安全狀況發表了評論，但尚未收到答復。
目前此次SnapShot部分泄露信息已曝光，筆者已經看到網絡上有不少好事者在下載了，FreeBuf請大家不要傳播。