HYGO: 推特舉報人國會聽證：一半的推特員工可進入參議員的帳戶！ 9/13/2022

HYGO: 推特舉報人國會聽證：一半的推特員工可進入參議員的帳戶！

Kennedy to whistleblower: half Twitter employees have access to Senator Grassley’s account! 9/13/2022

Facebook US registered user community with high engagement comments

youtube

2022 年 9 月 13 日，推特前網絡安全負責人 Peiter "Mudge" Zatko 在參議院聽證會上作證，他聲稱該公司存在重大安全漏洞和疏忽。

這位網絡安全資深人士在 8 月首次公開的舉報人投訴中詳細說明了一係列安全問題，包括該公司在 2020 年大約每周遭受一次重大違規行為，並且幾乎沒有針對所謂的內部威脅提供保護，其中公司容易受到自己員工的攻擊。

肯尼迪：紮特科先生給我 30 秒。好吧。格拉斯利參議員是 Twitter 上的活躍用戶。我將以他的帳戶為例。給我 30 秒時間，了解 Twitter 擁有的有關格拉斯利參議員或像他這樣的人的信息類型。

Zatko：電話號碼是多少？他們連接的最新 IP 地址是什麽？他們是否連接了其他 IP 地址？這是當前的電子郵件嗎？他們在帳戶中使用該電子郵件有多久了？來自 IP 地址的之前的電子郵件是什麽？我們認為他們住在哪裏？我們認為它們現在與哪裏有關？他們是否仍然連接，即使他們沒有積極使用信息，他們連接的是什麽類型的設備？他們使用什麽類型的網絡瀏覽器？可能是哪個牌子？哪台電腦，他們用什麽語言連接的？

肯尼迪：讓我再試一次。我一定會明白的。好的。我不是想從你的證詞中欺騙你。我知道 Twitter 的一半工程師和一半員工都可以訪問格拉斯利參議員的賬戶，對嗎？

Zatko：根據我在技術上看到的，是的。好的。
肯尼迪：如果他們進入參議員格拉斯利的賬戶，Twitter 不知道工程師已經這樣做了，對嗎？
Zatko：很難找到顯示我理解的日誌。正確的。
肯尼迪：所以你沒有登錄和注銷係統。

Zatko：我很難找到哪些工程師登錄了哪些係統以及他們訪問了哪些數據。

肯尼迪：好的。所以這個工程師，他可以偷偷進入參議員格拉斯利的賬戶並獲得所有這些信息 Twitter 不知道他到底是什麽，那個工程師會做什麽？什麽？該信息做到了。因此，例如，經過精心設計的 Twitter 可以出售它，不是嗎？

Zatko：可以出售訪問權限。我在地下論壇上看到過許多提供此類訪問權限的帳戶，無論這些訪問權限是否有效，但我也看到了出售帳戶訪問權限、刪除帳戶、解禁帳戶的提議。出色地，

肯尼迪：那個工程師可以打電話給他的一個朋友說，嘿，你不喜歡格拉斯利參議員。讓我在這裏給你一些信息。而且，你可能想用它來對付他。那個工程師能做到嗎？ Twitter 會知道工程師已經這樣做了嗎？
紮特科：不一定。
肯尼迪：現在多西先生知道這一切了嗎？

Zatko：我確實向 Dorsey 先生解釋了這一點。我的理解是，他在帶我進來之前並不了解這一點。這也是他想要的原因之一。

肯尼迪：他現在明白了嗎？
Zatko：我相信看到這裏之後，
肯尼迪：你的首席執行官呢？他明白這點嗎？

Zatko：我相信自從他在那裏工作了 10 年以來，他在工程領域的地位不斷上升，他與工程師和他進行了交談，他們告訴了......我相信是的

肯尼迪：好的。你有一位萬事達卡的高管，萬事達卡的 Mimi Alemayehou。這位董事會成員知道嗎？

Zatko：我不知道她是否知道。
肯尼迪：這是一個理性的董事會成員會詢問的事情嗎？
Zatko：我會這麽認為，但我也看到提交給董事會的內容不具有代表性
肯尼迪：在你在那裏的時候，董事會有沒有問過
Zatko：董事會沒有直接問這些，沒有。
肯尼迪：即使在與外國特工的所有這些問題之後，
Zatko：我在董事會會議期間不在場。
肯尼迪：就坐在那裏？
Zatko：他們專注於其他話題
肯尼迪：對吧？李博士，他是斯坦福大學的教授。他知道這一切嗎？
Zatko：同樣的反應。當我……時，我沒有看到關於這個特定主題的任何問題。
肯尼迪：帕特裏克·皮切特。
Zatko：Patrick Pichette 是那個，當我提到這個例子時，他一發不可收拾。他非常沮喪。他做到了。
肯尼迪：他修好了嗎？
Zatko：不。他要求提供後續信息，然後……
肯尼迪：為什麽 Twitter 沒有解決這個問題？
Zatko：還有其他優先事項。
肯尼迪：是錢的問題。不是嗎？
Zatko：這是關於任何危機和其他優先事項。
肯尼迪：要解決這個問題需要花錢。不會嗎？
Zatko：它會分散對其他優先事項的關注。
肯尼迪：讓他們花錢。不會嗎？
Zatko：很可能，是的。是的。

肯尼迪告密者：一半的 Twitter 員工可以訪問參議員格拉斯利的賬戶！