3 сентября хакерская группа AntiSec заявила, что смогла украсть с ноутбука агента ФБР базу, содержащую данные владельцев 12 миллионов мобильных устройств производства Apple. В подтверждение своих слов они опубликовали часть этой информации и рассказали, как им удалось ее получить. ФБР поспешила опровергнуть сообщение о взломе и откреститься от сбора упомянутых данных, а журналист сфотографировался в розовой пачке с ботинком на голове ради интервью с хакерами.
Хакеры утверждают, что в марте 2012 года они смогли получить удаленный доступ к ноутбуку Dell Vostro, принадлежащему старшему спецагенту Кристоферу Стэнглу (Christopher K. Stangl). С жесткого диска было скачано несколько документов, в числе которых оказался файл "NCFTA_iOS_devices_intel.csv". В нем AntiSec обнаружили список более чем 12 миллионов мобильных устройств, произведенных компанией Apple.
Файл, по словам хакеров, содержал в себе ряд сведений как о самих устройствах (включая уникальные идентификаторы UDID), так и об их владельцах, такие, например, как номера телефонов, адреса и почтовые индексы. Во многих случаях, отмечают они, были заполнены далеко не все поля. При этом на компьютере не было обнаружено никаких документов, которые могли бы навести на мысль, зачем ФБР нужна вся эта информация.
Чтобы не быть голословными, хакеры решили опубликовать сведения о миллионе и одном устройстве, удалив из файла личные данные владельцев (но оставив, для убедительности, имена устройств - вроде "Айфона Пети"). План заключается в том, что владельцы айфонов и айпадов скачают файл, найдут в нем свои устройства и убедятся, что ФБР действительно собирает данные "для проекта по слежке или чего-то такого". Правда, есть подозрение, что найдется не так-то много смельчаков, готовых скачать немаленький архив, распаковать его с помощью страшных строчек в командной строке, а потом еще дождаться, пока текстовый редактор "переварит" 136-мегабайтный файл. Поэтому издание The Next Web поспешило сделать онлайн-проверялку номеров устройств. А Huffington Post выбрало самые неожиданные и идиотские имена смартфонов и планшетов, обнаруженные в списке.
Вскоре после публикации хакеров начались разговоры о том, насколько страшна для пользователей публикация UDID их устройств. Этот уникальный номер, который получает каждый iPhone, iPad и iPod, используется различными приложениями и рекламными сетями для идентификации пользователей. Новозеландский консультант по информационной безопасности Альдо Кортези (Aldo Cortesi) назвал случившееся катастрофой. Кортези еще в 2011 году выяснил, что некоторые приложения неправильно работают с UDID, а это позволяет злоумышленнику, узнавшему код устройства, выяснить личные данные и местоположение его владельца, а также получить доступ к аккаунтам в Facebook и Twitter.
Кортези утверждает, что в iOS и приложениях под эту мобильную систему есть еще много незакрытых уязвимых мест. "Когда я говорил с людьми об этом, меня спрашивали: "Что является худшим из того, что может произойти?". В ответ я всегда говорил, что худшим сценарием будет утечка большого количества UDID. И вот оно", - нагнетает Кортези. Правда, другой эксперт, Крис Вэйласек (Chris Valasek), утверждает, что паниковать не надо: номера устройств не дают злоумышленникам контроля над телефоном, поэтому ничего ужасного не произошло.
Маркус Кейри (Marcus Carey), исследователь из компании Rapid7, заметил, что существует "миллион путей", с помощью которых хакеры способны получить подобную информацию. Например, агенты ФБР действительно могли собирать данные для расследования другой утечки. Либо, отмечает он, могла быть взломана сама Apple, мобильный оператор AT&T или, скажем, разработчик популярного приложения, у которого был доступ к UDID. Не исключается и то, что Apple добровольно передала спецслужбам данные по какой-либо причине.
Впрочем, ФБР поспешило опровергнуть информацию как о взломе ноутбука своего сотрудника, так и о том, что бюро когда-либо собирало подобную базу устройств. Хакеры в твиттере иронично заметили: "Ты понимаешь, что делаешь что-то правильно, когда ФБР бросается опровергать в Twitter заявление Anonymous". На своем сайте сторонники AntiSec опубликовали подробный ответ на реакцию спецслужб, где придираются к словам (ФБР заявляет, что "нет свидетельств" взлома, а это, мол, еще не доказывает, что его не было) и утверждают, что представители ФБР неоднократно врали в своих заявлениях и, значит, верить им можно не больше, чем AntiSec.
Реакции Apple на случившееся пока не поступало: утечка как назло произошла за неделю с небольшим до анонса чего-то очень важного (вероятно, нового iPhone).
Адриан Чен. Фото с сайта gawker.com
Lenta.ru
Зато на действия хакеров отреагировал журналист новостного блога Gawker Адриан Чен (Adrian Chen). Дело в том, что в записи, рассказывающей о взломе и утечке, AntiSec не только описали процесс и дали ссылки на архив, но и привели краткую историческую справку о популярных хакерах, связавшихся с властями, а также выразили поддержку Джулиану Ассанжу и Wikileaks, жителям Туниса и Египта, сирийским повстанцам и, как ни странно, российской группе Pussy Riot. Кроме того, они обратились к журналистам, заявив, что не дадут никаких интервью и не опубликуют никакой дополнительной информации о взломе до тех пор, пока на главной странице Gawker в течение суток не будет висеть фотография Адриана Чена в розовой пачке и с ботинком на голове.
Чен решил пойти навстречу требованиям хакеров и выложил требуемые фотографии. В соответствующей заметке журналист рассказал, что Anonymous, вероятно, невзлюбили его за нелицеприятные высказывания в Facebook, а также оставил свои контакты на случай, если AntiSec захотят дать ему интервью или кто-нибудь еще - журналистскую премию.
Ситуация выглядит комичной или даже безумной, но вполне укладывается в веселое мировоззрение хакеров из AntiSec. Остается надеяться, что их предложение не было шуткой и самопожертвование Чена действительно прольет свет на ситуацию вокруг ФБР, которое, возможно, держит под колпаком пользователей айфонов и айпадов.