Michal Ždanský Nakon nekoliko dana Appleove interne istrage, tvrtka je izdala izjavu u vezi s hakiranje iCloud računa nekih slavnih osoba, čije su nježne fotografije procurile u javnost. Prema Appleu, fotografije nisu procurile hakiranjem servisa iCloud i Find My iPhone, jer su po načinu na koji su hakeri došli do fotografija inženjeri kalifornijske tvrtke utvrdili ciljani napad na korisnička imena, lozinke i sigurnosna pitanja. Međutim, nisu komentirali kako su došli do iCloud fotografija.
Prema Wiredu, lozinke su provaljene pomoću forenzičkog softvera koji koriste vladine agencije. Na oglasnoj ploči Anon-IB, gdje se pojavilo nekoliko fotografija slavnih, neki su članovi otvoreno raspravljali o korištenju softvera u ime ElcomSoft Phone Password Breaker. To vam omogućuje da unesete dobivena korisnička imena i lozinke kako biste dohvatili cijele sigurnosne kopije datoteka s iPhonea i iPada. Prema stručnjaku za sigurnost s kojim je razgovarao Wired, metapodaci s fotografija odgovaraju korištenju navedenog softvera.
Hakeri su samo trebali doći do korisničkih imena (Apple ID) i lozinki, što su vjerojatno uspjeli zahvaljujući prethodno spomenutoj metodi pomoću programa iBrute zajedno s ranjivošću Find My iPhone, koja je napadačima omogućila pogađanje lozinke bez ograničenja u broju pokušaja. Apple je zakrpao ranjivost ubrzo nakon što je otkrivena. Veliku ulogu odigrala je i činjenica da žrtve hakerskog napada nisu koristile verifikaciju u dva koraka koja zahtijeva unos koda poslanog na telefon. Valja napomenuti da se provjera u dva koraka ne odnosi na iCloud backup i Photo Stream usluge, međutim, oni bi uvelike otežali dobivanje lozinki za korisničko ime.
Međutim, čak ni uz provjeru u dva koraka, iCloud nije idealno zaštićen. Kao što je otkrio Michael Rose s poslužitelja TUAW, kada sinkronizirate Photo Stream, sigurnosnu kopiju Safarija i poruke e-pošte na novo Apple računalo, nema upozorenja za korisnika da je pristupljeno podacima s novog računala. Samo uz poznavanje Apple ID-a i lozinke bilo je moguće preuzeti spomenuti sadržaj bez znanja korisnika. Kao što vidite, Appleove usluge u oblaku još uvijek imaju neke pukotine, čak i ako je korisnik zaštićen provjerom u dva koraka, koja, usput, još uvijek nije dostupna u, primjerice, Češkoj ili Slovačkoj. Uostalom, nakon ove afere dionice Applea pale su za četiri posto.
Ne biste vjerovali kako par slavnih osoba s dementno jednostavnom lozinkom i porno fotkama na mobitelu mogu pomaknuti dionice tako velike kompanije :)
Oni su sastavni dio toga što su korisnici izgubili podatke i poprilično privatnosti, pa je u ovom slučaju sasvim u redu da dionice padnu. Barem se uči paziti na sigurnost i mi korisnici ćemo barem izgledati dobro ;-).
Dakle, lozinke su provaljene pomoću programa iBrute, koji metodom pokušaja/pogreške isprobava sve često korištene lozinke prema nekom rječniku. Slabost je bila to što su žrtve imale rječnik ili slabu lozinku, a Apple nije blokirao ovu metodu (npr. ograničavanjem broja neuspjelih pokušaja u minuti) u Find My Phone (sada popravljeno). Nakon što su imali lozinke, mogli su raditi što su htjeli. No kako ne bi otkrili podatke o registraciji drugog uređaja s istim Apple ID-om, skinuli su kompletan backup iPhonea s iClouda pomoću programa EPPB i tim programom izvukli fotografije iz backupa. Zaključak - dobra lozinka je jednostavno neophodna.
Ne bih se iznenadio da je to bio i plaćeni potez. bacanje što više prljavštine na Appleovog diva nekoliko dana prije predstavljanja supernovosti. To je i jedan od mogućih scenarija kako je to moglo biti. Da bi se čovjek danas oduševio dionicama, dovoljno je shvatiti koliko je to osjetljivo. Ali onaj tko je najbolji uvijek će dobiti spin, to se neće promijeniti.
Oni su sastavni dio toga što su korisnici izgubili podatke i poprilično privatnosti, pa je u ovom slučaju sasvim u redu da dionice padnu. Barem se uči paziti na sigurnost i mi korisnici ćemo barem izgledati dobro ;-).
Naravno, Apple nikada ništa ne plaća. Prestanite braniti vijeće pod svaku cijenu. Već je neugodno. Samo su to podijelili
Upravo sam danas primio e-poruku od "checkauth@apple.com". Izgleda točno kao Apple, a piše da mi je s računa skinuta aplikacija koju niti ne koristim. Kad sam otišao promijeniti lozinku, preusmjerio me na stranicu koja samo izgleda kao Apple.com, ali je URL adresa očito drugačija.