Những mối nguy hiểm tiềm ẩn nào phát sinh từ vụ rò rỉ UDID iOS hàng loạt?


19

Bất cứ ai cũng có thể khai sáng cho chúng ta những gì một hacker có thể sử dụng một (hoặc một danh sách) UDID để làm gì?

Vụ rò rỉ báo cáo ngày 4 tháng 9 của 1 triệu UDID của AntiSec khiến tôi lo lắng. Nhưng tôi có nên không?

Trường hợp xấu nhất với một hacker có một triệu UDID là gì?


1
Vì chúng tôi không phải là một trang web lập trình - tôi sẽ trả lời điều này cho khán giả ở đây - người dùng các sản phẩm của Apple. Bạn có thể sẽ nhận được một câu trả lời khác nếu bạn hỏi cách khai thác mã thông báo APNS ( dường như có thể hết hạnhiện đang được Apple chọn ngẫu nhiên trên mỗi ứng dụng ) trên một trang web lập trình tập trung hơn.
bmike

Câu trả lời:


18

Bây giờ đã có thêm "sự thật", rò rỉ này là từ một công ty bên thứ ba, Blue Toad và bởi tất cả các tài khoản có uy tín , trên thực tế, rò rỉ không chứa khối lượng UDID hoặc dữ liệu cá nhân bổ sung sẽ tấn công bất cứ ai như " liên quan. " Việc rò rỉ dữ liệu được thu thập theo chính sách hiện có của Apple và cửa hàng ứng dụng và hoàn toàn không phải là duy nhất vì hàng trăm công ty sẽ có khối lượng và loại dữ liệu đó do sử dụng UDID trước đây để nhận dạng khách hàng.

Bản thân tài liệu bị rò rỉ hầu như vô hại từ quan điểm kỹ thuật, nhưng khá sốc nếu bạn dự kiến ​​là riêng tư và bây giờ có một số chi tiết được công khai.

Nó chứa một dòng với các loại thông tin sau cho mỗi thiết bị được dự định liệt kê:

UDID, mã thông báo APNS, tên thiết bị, loại thiết bị

Trừ khi bạn là lập trình viên và chạy một dịch vụ có thể đẩy tin nhắn thông qua dịch vụ thông báo đẩy của Apple (APNS), thì bạn không thể thực sự có bất kỳ hành động nào dựa trên tệp bị rò rỉ.

Nếu bạn có hồ sơ về các giao dịch liệt kê UDID hoặc tên / loại thiết bị và muốn xác nhận một thông tin khác, tệp này có thể được sử dụng để liên kết hai mẩu thông tin với nhau nếu bạn đã có thông tin đó.

Sự phân nhánh bảo mật thực sự là "rò rỉ" này là từ một tệp bảng tính được cho là chứa 12 triệu mục - không phải là hàng triệu đã bị rò rỉ. Thông tin tốt nhất chúng tôi có (nếu bạn tin những từ của văn bản phát hành có một chút thô tục nếu bạn quan tâm đến loại đó ) là dữ liệu thực bị đánh cắp cũng có thông tin rất cá nhân như mã zip, số điện thoại, địa chỉ và tên đầy đủ của những người được liên kết với mã thông báo UDID và APNS.

Loại thông tin đó trong tay của một người có kỹ năng (nhân viên chính phủ, tin tặc, hoặc đơn giản là một kỹ sư có ác cảm với bạn) là thứ có thể gây tổn hại cho hầu hết chúng ta về việc vi phạm quyền riêng tư của chúng tôi. Không có gì trong bản phát hành này dường như làm tổn hại đến tính bảo mật của bạn khi sử dụng thiết bị - nhưng nó khiến mọi thứ thường được coi là ẩn danh vì vậy nếu FBI thường xuyên mang theo danh sách hàng triệu thông tin thuê bao sẽ cho phép họ ghi nhật ký ứng dụng sử dụng cho một thiết bị cụ thể hoặc một người cụ thể.

Trường hợp xấu nhất với dữ liệu bị rò rỉ hôm nay sẽ là người đã đăng ký với Apple để gửi thông báo đẩy có thể cố gắng gửi tin nhắn không mong muốn tới hàng triệu thiết bị (giả sử mã thông báo APNS vẫn hợp lệ) hoặc nói cách khác là tương quan tên thiết bị với UDID nếu họ có quyền truy cập vào nhật ký nhạy cảm hoặc cơ sở dữ liệu từ nhà phát triển hoặc thực thể khác. Rò rỉ này không cho phép truy cập từ xa theo cách biết mật khẩu và ID người dùng.


1
Nếu Apple xứng đáng với muối của mình, mã thông báo APNS sẽ bị thu hồi càng sớm càng tốt. Tuy nhiên, tôi sẽ không nuôi hy vọng của mình, họ đã không phản ứng nhanh với những thứ bảo mật trong quá khứ.
jrg

2
Cá nhân tôi sẽ nói chuyện với các đại biểu quốc hội của mình để hiểu nếu trên thực tế FBI không chỉ mang theo khoảng 12 triệu mã thông báo UDID / APNS / các loại dữ liệu cá nhân khác không được mã hóa trên máy tính xách tay, mà thậm chí tệ hơn, còn bị đánh cắp.
bmike

2
Mã thông báo APNS là vô giá trị đối với bất kỳ ai không có toàn bộ chứng chỉ kỹ thuật số APNS được tạo bởi nhà phát triển ứng dụng. Không thể gửi thông báo đến một ứng dụng mà không có chứng chỉ của ứng dụng đó. Không cần phải thu hồi các mã thông báo. Trên thực tế, Apple có thể không thể không đưa các bit mới vào điện thoại.
ohmi

@bmike cảm ơn bạn đã trả lời chi tiết. Nếu thực sự FBI mang 12 triệu + UDID, họ có thể làm gì với họ và họ có thể đi xa hơn để theo dõi vị trí và / hoặc cách sử dụng iPhone của chúng tôi không?
Ethan Lee

1
Xin hãy giữ lại! Tinh vi hơn cần thiết, tất cả những gì chúng ta biết là ai đó đã nhận UDID và nói FBI đã đánh cắp chúng. Hợp lý, chắc chắn. Thật hợp lý khi chúng tôi sẽ đưa ra bất cứ lời nào của FBI về FBI, có lẽ đó là lý do tại sao bất cứ ai đã ném những FBI này xuống xe buýt! Chúng ta hãy chờ đợi để nghe nhiều hơn trước khi tham gia vào lời kêu gọi vô ích đối với các đại diện được bầu ...
chiggsy

7

Như bmike lưu ý, UDID tự nó không gây hại đặc biệt. Tuy nhiên, nếu những kẻ tấn công có thể thỏa hiệp các cơ sở dữ liệu khác sử dụng UDID, thì sự kết hợp này có thể mang lại khá nhiều thông tin cá nhân, vì bài viết này từ tháng 5 năm 2012 đã nêu ra: Khử tên Apple UDID với OpenFeint .

Như với vụ hack Mat Honan được công bố rộng rãi gần đây , một lỗi vi phạm an ninh có thể không gây rắc rối quá nhiều, nhưng thiệt hại có thể tăng theo cấp số nhân nếu kẻ tấn công có thể vi phạm dịch vụ khác mà bạn sử dụng.


4
Rất đúng về khả năng sử dụng thông tin này để tham chiếu chéo với các cơ sở dữ liệu khác. Đây là cách đáng sợ hơn với khả năng địa chỉ, tên và số điện thoại được liên kết trong tệp hồ sơ 12 triệu.
bmike
Khi sử dụng trang web của chúng tôi, bạn xác nhận rằng bạn đã đọc và hiểu Chính sách cookieChính sách bảo mật của chúng tôi.
Licensed under cc by-sa 3.0 with attribution required.