Még szerdán írtunk róla, hogy durván 600 millió Apple felhasználó felhasználónevéhez, illetve jelszavához juthattak hozzá hekkerek és cserébe azért, hogy a fiókokhoz kapcsolt eszközök távoli törlését ne kezdjék el, váltságdíjat kértek az Apple-től. A cég ugyanakkor egyelőre nem megy bele a játékba, hiszen közölték, hogy hozzájuk semmiféle betörés nem történt. Bár ez valószínűleg igaz, a helyzet bizonyos szempontból mégis nyugtalanító.
A támadók ugyanis 54 darab olyan felhasználónév/jelszó párost juttattak el a ZDNet nevű oldalhoz, melyek mindegyike működőképes volt. A szerkesztők megpróbálták felvenni a kapcsolatot a fiókok tulajdonosaival, bár a legtöbb esetben az iMessage szolgáltatás már inaktív volt, amely némileg hátráltatta a házon belüli nyomozást. Azok közül ugyanakkor, akiket elértek, tízen megerősítették, hogy a jelszavuk valóban helytálló és amelyet azóta meg is változtattak. Némi érdekesség, hogy ezen accountok tulajdonosai kivétel nélkül az Egyesült Királyságban éltek. A ZDNet-esek próbáltak kicsikarni amerikai kontókat is a hekkerektől, de nem jártak sikerrel.
Ami aggasztó, hogy ugyanez a tíz ember azt is közölte, hogy nem változtatta meg az iCloud jelszavát a fiók létrehozása óta, sőt, a legtöbb ember, akit a szerkesztők megkerestek ezzel a kérdéssel szintén megerősítette, hogy a jelszavuk évek óta változatlan. Szerencsére van némi öröm is az ürömben, ugyanis az egyik ilyen felhasználó úgy nyilatkozott, hogy bár valóban használta korábban azt a jelszót, amit a szerkesztőkhöz eljuttattak a hekkerek, ugyanakkor durván két évvel ezelőtt meg is változtatta. Ez azt jelenti, hogy a támadók kezében lévő adatok valahol 2011 és 2015 közöttiek lehetnek, magyarul, aki az elmúlt két évben hozta létre az iCloud fiókját vagy változtatta meg a hozzá tartozó jelszót, az jó eséllyel biztonságban van - legalábbis az iCloudot illetően.
A riport arról is beszámol ugyanis, hogy a megkeresett emberek egy része ugyanazt az e-mail címet és jelszót használja más szolgáltatások (pl. közösségi média oldalak) eléréséhez is, mint amivel az iCloud-ra regisztrált. Volt, akinek a Twitter accountjába léptek be közülük, de volt, aki értesítést kapott, hogy valaki megpróbálta resetelni az iCloud jelszavát. Ami érdekes, hogy egyszerre több böngészőből, de ugyanúgy Londonból, ami arra enged következtetni, hogy a támadók ott tartózkodhatnak.
Azt nem lehet tudni továbbra sem, hogy az állítólagos 600 darab felhasználónév/jelszó párosból mennyi az, amely valóban működik még, hogy ez az 54 darabos csomag gondosan kiválasztott kupac volt-e vagy tényleg reprezentatív minta. Egy valami ugyanakkor biztos, mégpedig az, hogy a támadók egyrészt naivak, másrészt elsősorban népszerűségre szeretnének szert tenni, ugyanis a ZDNet-esektől azt is megkérdezték, hogy a CBS (amely a ZDNet tulajdonosa) le fogja-e hozni a hírt a műsorukban (CBS News) vagy sem.
A felújított londoni üzletben sokaknak feltűnt, hogy az Apple úgy helyezte ki az asztalra az iPhone bemutatódarabokat, hogy azok nem voltak az asztalhoz kötözve, mint ahogy korábban - az itthoni APR-ekben is - megszokhattuk. De mint kiderült, az eset nem egyedi: az utóbbi hónapokban Kanadában és az Egyesült Királyságban is több helyen eltűntek a biztikábelek, és a látogatók úgy vehették kezükbe az iPhoneokat, mintha a haverjuktól kérték volna kölcsön.
A CNET kiderítette az Apple szándékát: a cupertinóiak szeretnék, ha a felhasználók természetesen vehetnék kezükbe a készüléket, mintha az övék lenne, kipróbálhatnák, milyen valójában kézben fogni. Sőt, akár zsebre is vághatnák, kipróbálni, elfér-e a naciban. Vagy felpróbálhatnának rá egy-két tokot, hogy eleve azzal együtt vehessék meg a cuccot.
Persze a kiállított iPhone-ok nem maradnak védelem nélkül: ha kisétálsz velük az ajtón, elkezd vinnyogni a sziréna, plusz a bolton kívül a telefon állítólag használhatatlan lesz. De így is nagy a kockázat, hiszen az Apple üzleteiben nincsenek látható kamerák, ez az Apple-féle vásárlási élmény része. Valószínű most van a nagypróba, ha nem lopnak túl sok eszközt a bevezetés után, elkezdik elhozni az új szabályozást egyre keletebbre, tán még az APR-ekbe is.
Nem túlzás kijelenteni, hogy a legnagyobb félelmet keltő malware-ek azok, amik a felhasználó kamerájához férnek hozzá, úgy, hogy a felhasználó erről nem értesül. Persze borzasztó dolog, ha az embernek ellopják a gépéről az identitását, az orvosi adatait, a bankkártyaadatait, és elveszik a pénzét. De az csak pénz, az embernek még mindig megmarad a becsülete.
A webkamera képének ellopásával nem biztos, hogy méltósággal viselnénk az esetet.
Még Mark Zuckerberg is annyira fél ettől a lehetőségtől, hogy szigszalaggal ragasztotta le a MacBookján a kamerát. És ha ő, az egyik legnagyobb kukkoló, ennyire fél, akkor mit szóljunk mi?
Patrick Wardle biztonságtechnikai szakértő, és volt NSA alkalmazott ráerősített a félelmünkre: a Virus Bulletin konferencián adott elő, és ismertetett egy módszert, amivel hozzá lehet férni a kamera képéhez Macen.
Folytatom a jó hírrel: Wardle nem tudta megoldani, hogy ne világítson a zöld LED, amikor rácsatlakozik a kamerára, ezért már aktív videochathez csatlakozott, és lopott felvételt a képzeletbeli áldozatról. Nem lehetetlen kijátszani a firmware szinten szabályozott "ha a kamera bekapcsol, a LED világít" automatizmust, de nagyon-nagyon nehéz, derült ki az előadásból.
Wardle volt az is, aki korábban olyan unsigned appot írt, ami kijátszotta a Gatekeeper védelmét. Szóval rászállt a Mac témára rendesen. Most például kiadott egy alkalmazást, ami monitorozza, ha bármilyen folyamat hozzá akar férni a kamera vagy a mikrofonunk által rögzített adatokhoz. Kiírja, mely alkalmazás kér engedélyt, és elfogadhatjuk vagy elutasíthatjuk a kérést. Az Oversight ingyenesen letölthető itt.
Gyorsan összefoglalom: egy volt NSA alkalmazott bebizonyította, hogy a megfelelő kártevő telepítésével a Macre el lehet lopni a kameránk képét, majd kiadott egy programot, amivel állítása szerint ez megakadályozható.
Az Apple híres arról, hogy szinte semmilyen részletet nem árul el a kódjainak mélyebb működéséről, sőt még a ficsöröket sem sorolja fel hiánytalanul a júzereknek. A műszaki részletezés nem juthat ki a falakon kívül: mintha lenne náluk egy ilyen szabály. És nem hittem volna, hogy ez a tradíció épp a legféltettebb és legkényesebb területtel, az iOS védelmi rendszerének részletezésével szakad meg.
Korábban már írtam arról, hogy az Apple végre meghirdette a bug bounty programját, magas összegeket fizetnek elvileg tényleg lehetetlen törések véghezviteléért. Az idei Black Hat hacker-konferencián az Apple persze nem csak ezt jelentette be, de egy elég részletekbe menő előadást is tartott. Ez érhető most el a neten.
Én csak úgy tudnám megérteni a videót, mint gyerekkoromban Thomas Mannt: ha egy vaskos szótárral (vagy Google-lel) nézném, és percenként megállnék böngészni. Ennek ellenére az információhegyet nem tudtam nem megosztani veletek.
Ja, és már az első másodpercekben kiderül: a kernel cache szándékosan titkosítatlan, az Apple mérnökei szerint ugyanis nem jelent ez veszélyt a felhasználó adataira, viszont az optimalizálásban jól jön.
Az Apple sokszor képviselteti magát a Black Hat hacker konferencián, idén azonban bejelentést is tettek: végre fizetnek azoknak, akik biztonsági réseket találnak a szoftvereikben. Ezzel felgyorsíthatják és hatékonyabbá tehetik a biztonsági fejlesztéseiket.
A felkínált pénzek pedig nem alacsonyak, igaz, meg is kell dolgozni érte. A legmagasabb elnyerhető összeg 200.000 dollár, 55,8 millió forint egy Secure boot firmware törésért. De ha kinyersz bizalmas információkat a Secure Enclave által védett helyről, 100.000 dollár akkor is jár. A legkevesebb pénz 25.000 dollár, ez annak jár, aki egy sanboxolt folyamatból felhasználói adatokat nyer ki a sandboxon kívülről. Apróbb hibákkal, úgy tűnik, nem foglalkoznak. Pontosabban biztos megköszönik, de pénz nem jár érte.
A blogon található valamennyi írás, valamint a fényképek egy része a szerző saját tulajdonát képezik, amelyek másolása, terjesztése kizárólag előzetes engedéllyel lehetséges.
