Michal Žďánský Po několikadenním interním vyšetřování Applu vydala společnost prohlášení ohledně nabourání účtů iCloud některých celebrit, jejichž choulostivé fotografie pronikly na veřejnost. Podle Applu nedošlo k úniku fotografií nabouráním iCloudu a služeb Find My iPhone, jako způsob, kterým hackeři fotografie získali, inženýři kalifornské společnosti určili cílený útok na uživatelská jména, hesla a bezpečnostní otázky. Nijak se však nevyjádřili k tomu, jakým způsobem byly fotografie z iCloudu získány.
Podle serveru Wired došlo k prolomení hesel pomocí forenzního softwaru využívaného vládními agenturami. Na Bulletin Boardu Anon-IB, kde se několik fotografií celebrit objevilo, někteří členové otevřeně diskutovali o použití softwaru jménem ElcomSoft Phone Password Breaker. Ten umožňuje zadat získaná uživatelská jména a hesla pro získání celého soubory zálohy z iPhonu a iPadu. Podle bezpečnostního experta, jehož se Wired dotazoval, odpovídají metadata z fotografií použití zmíněného softwaru.
Hackerům tak pouze stačilo získat uživatelská jména (Apple ID) a hesla, čehož dosáhli pravděpodobně díky již dříve zmíněné metodě s použitím programu iBrute společně se zranitelností služby Find My iPhone, jež umožnila útočníkům hádat heslo bez omezení počtu pokusů. Apple tuto zranitelnost brzy po objevení opravil. Velkou roli hrál i fakt, že oběti hackerského útoku nevyužily dvoufázového ověření, které vyžaduje vepsání kódu zaslaného na telefon. Nutno podotknout, že dvoufázové ověření se nevztahuje na služby zálohy do iCloudu a Photo Stream, nicméně by v první řadě značně ztížily získání hesel k uživatelskému jménu.
I s dvoufázovým ověřením však není iCloud ideálně chráněn. Jak zjistil Michael Rose ze serveru TUAW, při synchronizaci Photo Streamu, záloze ze Safari a e-mailových zpráv do nového počítače Apple uživatele nijak neupozorní, že k přístupu dat z nového počítače došlo. Pouze se znalostí Apple ID a hesla tak bylo možné stáhnout zmíněný obsah bez vědomí uživatele. Jak vidno, cloudové služby Applu mají stále některé trhliny, a to i v případě, že je uživatel chráněn dvoufázovým ověřením, které mimochodem stále není dostupné například v České republice nebo na Slovensku. Ostatně po této aféře se akcie Applu propadly o čtyři procenta.
To by člověk nevěřil jak dokáže pár celebrit s dementně jednoduchým heslem a pornofotkami v telefonu, pohnout akciemi tak velké firmy :)
Maji nedilnou spoluucast na tom ze uzivatele prisli o data a jeste o dost soukromy, takze v tomhle pripade je to naprosto v poradku, ze padaji akcie. Alespon je to nauci se bezepcnosti venovat a my uzivatele budeme alespon zdanlive v pohode ;-).
Takže k prolomení hesel došlo pomocí programu iBrute, který metodou pokus/omyl vyzkouší všechna často používaná hesla podle nějakého slovníku. Slabinou bylo to, že oběti měly slovníkové nebo slabé heslo a Apple neblokoval tuto metodu (např. omezením počtu neúspěšných pokusů za minutu) ve službě Find My Phone (už napraveno). Jakmile měli hesla, tak už si mohli dělat co chtěli. Aby se ale neprozradili informací o registraci dalšího zařízení se stejným Apple ID, tak stáhli z iCloudu kompletní zálohu iPhonu programem EPPB a ze zálohy tím programem vytáhli fotky. Závěr – kvalitní heslo je prostě nutnost.
Nedivil bych se kdyby to bylo i zaplacený tah. naházet co nejvíce špíny na Apple giganta par dni pred uvedenim super novejch veci. Je to i jedna z moznejch scenérii jak to mohlo bejt. Aby clovek hejbnul s akciema dneska staci si fakt uz jen uprdnout jak je to citlivy. Ale na toho kdo je nejlepsi, se vzdycky spina hazet bude to se nezmeni.
Maji nedilnou spoluucast na tom ze uzivatele prisli o data a jeste o dost soukromy, takze v tomhle pripade je to naprosto v poradku, ze padaji akcie. Alespon je to nauci se bezepcnosti venovat a my uzivatele budeme alespon zdanlive v pohode ;-).
Jasne, Apple nikdy za nic nemuze. Prestan je porad za kazdou cenu obhajovat. Uz je to trapne. Proste to podelali
Akurát dnes mi prišiel email od “checkauth@apple.com“. Vyzerá úplne ako od Apple, a píše sa v ňom, že bola z môjho účtu stiahnutá aplikácia ktorú ani nepoužívam. Keď som išiel meniť heslo presmerovalo ma to na stránku ktorá len vyzerá ako Apple.com ale URL adresa je jednoznačne iná.