Σε ομηρία συσκευές της Apple στην Αυστραλία. Χάκερ ζητούσε λύτρα για να τις "ξεκλειδώσει"

[fingolfingr]

Δεν είναι σε θέση κανένας μας να γνωρίζει τι συνεβει ακριβώς. Παρόλα αυτά πριν από καμποσο καιρό είχα λάβει ειδοποίηση από το yahoo το οποιο ανεφερε ότι είχε κλειδώσει το mail μου επειδή καποιος είχε μπεί στον λογαριασμό μου από αγνωστο υπολογιστή.

 

Αν με το παραπάνω είχε γίνει γνωστός ο κωδικός και χρησιμοποιούσα τον ίδιο παντού τότε θα είχε πρόσβαση στα παντα.

Οι περισσότεροι όταν λαμβανουν από τράπεζες, apple, εφορίες, facebook κλπ ενημερωσεις δεν τις διαγραφουν. Οπότε αν εχεις ίδιους κωδικους παντού... έχασες.

 

Αλήθεια, αν καποιος "βρεί" τον κωδικό μου στο gmail τότε εχει πρόσβαση στις επαφες αλλα κυρίως σε όλους τους κωδικούς που εχω αποθηκευσει στον chrome (που συγχρονίζει συνεχώς). Αυτό προσωπικά θα με ανησυχούσε περισσότερο.

[Gi0]

Αλήθεια, αν καποιος "βρεί" τον κωδικό μου στο gmail τότε εχει πρόσβαση στις επαφες αλλα κυρίως σε όλους τους κωδικούς που εχω αποθηκευσει στον chrome (που συγχρονίζει συνεχώς). Αυτό προσωπικά θα με ανησυχούσε περισσότερο.

Two factor authentication και ας βρει οτι κωδικο θελει.

[jimmmi]

Δε νομιζω να εκατσε να μαντέψει ο χακερ ημερομηνιες γεννησης, αριθμους κινητων η ονοματα σκυλων κοκ. Απλα κενο ασφαλειας υπηρχε. Οσο και μερικοι να λενε για μακρια και κοντα

[Gi0]

Δε νομιζω να εκατσε να μαντέψει ο χακερ ημερομηνιες γεννησης, αριθμους κινητων η ονοματα σκυλων κοκ. Απλα κενο ασφαλειας υπηρχε. Οσο και μερικοι να λενε για μακρια και κοντα

Εγω σαν κενο ασφαλειας θα χαρακτηριζα τον τυπικο χρηστη που χρησιμοποιει τον ιδιο κωδικο σε οποιοδηποτε κουτακι βλεπει να αναγραφεται το "Enter password here".

[kosegdit]

To "Find my iPhone" δεν είναι εφαρμογή στο AppStore, είναι μια λειτουργία του iCloud που σου επιτρέπει να εντοπίσεις την συσκευή σου, και είναι built in στο λειτουργικό. Για να κάνεις χρήση της λειτουργίας αυτής, θα πρέπει να μπεις πρώτα στο iCloud account σου. Εκεί θες username και password. To username είναι public, καθώς είναι το icloud email address. Τώρα, αν το password είνια μια χαζομάρα και μαντεύεται εύκολα, αυτό δεν είναι κενό της Apple ή της οποιασδήποτε Apple... Δεν καταλαβαίνω λοιπόν αυτό που λες. Εδώ έχουμε παραβίαση account λόγω κακού (ή κλεμμένου από αλλού) password, όχι λόγω καινού ασφαλείας.

 

Αν είναι έτσι όπως τα λες, και το μόνο που χρειάστηκαν οι τυπάδες που κάνανε τις ταλιμπανιές, ήταν απλά ένα username και να "μαντέψουν" ένα password, τότε πάω πάσο και συμφωνώ μαζί σου.

[Mercyful_Fate]

Χμμμ...Πολλές απόψεις για το πως μπορεί να το έκανε...

Την προοπτική ενός fake server την σκέφτηκε κανείς σας;

Η μιας <<γέφυρας>> μεταξύ συσκευής-server...;

Ότι password και να έχεις...καπουτ!!!

Όταν με τέτοιες τακτικές συχνά πέφτουν σύστηματα ασφαλείας που στοιχίζουν εκατομμύρια δολάρια μηνιαίως (βλέπε NASA,FBI,Πενταγωνο...),θεωρείται ότι η apple δεν κάνει καλά την δουλειά της...;

Μην τρέφεται αυταπάτες,δεν υπάρχει τίποτα απροσπέλαστο....!!!

Όλα είναι θέμα χρόνου για να <<πέσουν>>...

Ας παραβλέψω το γεγονός ότι η επικοινωνία με τους servers της Apple (όσο αφορά το authentication) είναι encrypted όσο δεν πάει (το οποίο δεν σπάει έτσι όπως λες, αλλά τέλος πάντον), και ας κάνω μια απλή ερώτηση:

 

Μεταξύ iPhone και Apple, που θα στήσεις αυτή την "γέφυρα" (μάλλον εννοείς man in the middle, αλλά τέλος πάντον νο. 2)??

[biglinos]

@Mercyful_Fate Καταρχήν να μην παραβλέψεις καθόλου το πρώτο (επικοινωνία με τους server της apple),δεν μίλησα για επικοινωνία με server της apple αλλά με fake server,απίθανο;

Λέω βλακείες;

Ρίξε μια ματιά στον DoulCi server(fake apple server) και τα αποτελέσματα του και έλα ξαναρωτα με...

Όσον αφορά την γέφυρα την απάντηση μπορείς να την πάρεις άμεσα και μάλιστα από Έλληνα Hacker που μέσω του n-splitter (είδος γέφυρας)<<έσπασε>> κωδικούς του Πενταγωνου,FBI και άλλων...

 

Πριν θέσεις ερωτήματα που πηγάζουν από ειρωνικες διαθέσεις,καλό είναι να είσαι πλήρως ενημερωμένος...

 

Υ.Γ. Όσον αφορά τον DoulCi server μπορώ να σε κατατοπίσω περαιτέρω...και μέσω twitter (chr1s_b1gl1n0s)

[Mercyful_Fate]

Δεν θέτω ερωτήματα με ειρωνική διάθεση, αλλά με τεχνική διάθεση και το σχετικό υπόβαθρο λόγω δουλιάς.

 

Πως θα φυτέψεις τον fake apple server μεταξύ δύο πλατφορμών στις οποίες δεν έχεις πρόσβαση (iCloud & iOS)? Αυτό συνήθως γίνεται είτε με φυσική πρόσβαση σε μία από τις δύο access μεριές (π.χ. να πας και να κάνεις tap το intranet του iCloud ή τον router που συνδέεται το συγκεκριμένο iPhone), είτε μέσω κάποιας malicious εφαρμογής που κάνει replicate την κίνηση του χρήστη προς κάποιον server.

 

Περί DoulCi:

 

All a user has to do is modify the hosts file on his or her PC or Mac. The hosts file helps direct network traffic from a PC to specific resources. When the user then runs iTunes, it will detect the device plugged in and automatically transmit an activation request, which is then rerouted to doulCi. The device is then purportedly activated without any further action on the user's part.

Άρα θες φυσική πρόσβαση στην συσκευή, πράγμα που δεν αναφέρεται στο άρθρο που συζητάμε. Οπότε δεν μιλάμε για το ίδιο πράγμα.

 

Όσο γι' αυτό με το n-splitter που λες, δε γνωρίζω περί τίνος πρόκειται. Εγώ τα μόνα nsplitter που γνωρίζω είναι διακλαδωτές αναλογικού σήματος, 1 είσοδος - n έξοδοι...

[biglinos]

nsplitter το ονόμασε ο Έλληνας hacker,ψάξε την περίπτωση του και θα καταλάβεις τι εννοώ,όσον αφορά την πρόσβαση στην εκάστοτε συσκευή μπορεί να γίνει και μέσω ενός email(υποτιθέμενου από την apple ας πούμε)αυτό μπορεί να γίνει random μέσα από mail lists(για να σε προλάβω πριν πεις που θα ξέρει το mail του αλλού),με ένα spoof που θα αντλήσει μόλις ανοιχτει(υποθέτουμε πάντα από κινητή συσκευή που πλέον είναι σύνηθες),από πρόσβαση φυσικά στο είδος συσκευής (Apple που έψαχνε ο τύπος )μέχρι τους hosts files της συσκευής...(κοινώς η διαδικασία που ακολουθεί ο DoulCi αλλά απευθείας στην συσκευή)...

Θα μου πεις επίπονη διαδικασία...αλλά αν τα βάλεις όλα αυτά σε ένα tool(πάρε παράδειγμα το iOS soft dev tool που περιέχει εώς και ενσωματωμένο server )...τότε όλα είναι πιο απλά...

Εκτός κι αν μου πεις τώρα ότι θα δυσκολευτεί να hackarει ο Oleg_Pliss ένα email...

 

Υ.Γ. Συγχώρεσε με αν παρεξήγησα τις προθέσεις σου,αλλά το ύφος της ερώτησης σου μαρτυρουσε ειρωνική διάθεση...

[Mercyful_Fate]

Βρε συ biglinos, κάνεις πολλά άλματα στους συλλογισμούς σου όμως. Περιγράφεις πολύ high level τεχνικές χωρίς καμιά λεπτομέρια και εξειδίκευση (υπάρχουν 1002 τεχνικά προβληματάκια που το καθένα από αυτά θα καθιστούσε την όλη προσπάθεια αποτυχημένη), και πάνω απ' όλα πρϋποθέτεις ένα προφίλ πολύ αφελούς χρήστη ο οποίος τουλάχιστον μια φορά θα πατήσει την μπανανόφλουδα.

 

Εν πάσει περίπτωση, επειδή ξεφύγαμε πολύ off topic, το εν λόγω άρθρο αναφέρεται σε έμμεση κλοπή λογαριασμών iCloud, και όχι σε κενό ασφαλείας.

[kifinas]

ναι,

απο εδω, εως εδω.

Μετά από αυτή την καταπληκτική απάντηση φαντάζομαι πως μπορείς να παραθέσεις πολλές συσκευές κινητής τηλεφωνίας που έχουν υποχρεωτικό το κλείδωμα τους με pin. Περιμένω λοιπόν τα φώτα σου από εκεί.

[Mercyful_Fate]

Μετά από αυτή την καταπληκτική απάντηση φαντάζομαι πως μπορείς να παραθέσεις πολλές συσκευές που έχουν υποχρεωτικό το κλείδωμα τους με pin. Περιμένω λοιπόν τα φώτα σου από εκεί.

Όσες χρησιμοποιούντια για επαγγελματικά Exchange Serve emails σε υποχρεώνουν να βάλεις 5-ψήφιο pin. Αλλιώς δεν μπορείς να βάλεις τα εταιρικά emails στο κινιτό σου. Πιθανόν να υπάρχουν και άλλες κατηγορίες, αλλά αυτή την κατηγορία την γνωρίζω λόγω προσωπικής χρήσης.

[kifinas]

Μια χαρά έχω βάλει εταιρικό email από Exchange σε πάρα πολλές συσκευές χωρίς να είναι απαραίτητο το κλείδωμα τους με pin. Περιμένω ονόματα συσκευών.

[hackerW32]

Μετά από αυτή την καταπληκτική απάντηση φαντάζομαι πως μπορείς να παραθέσεις πολλές συσκευές κινητής τηλεφωνίας που έχουν υποχρεωτικό το κλείδωμα τους με pin. Περιμένω λοιπόν τα φώτα σου από εκεί.

 

place holder για καταπληκτική απαντηση

 

 

δεν ειπα αυτο, για την apple Μίλησα, απλα δεν ηθελα να αναφερθω αλλου γιατι νομιζω οτι ολοι ξερουμε εαν εχουμε ή ειχαμε οτι δεν ισχυει αυτο ουτε εκει.

[Mercyful_Fate]

Μια χαρά έχω βάλει εταιρικό email από Exchange σε πάρα πολλές συσκευές χωρίς να είναι απαραίτητο το κλείδωμα τους με pin. Περιμένω ονόματα συσκευών.

Στο iPhone το δικό μου και σε ένα Nexus συναδέλφου.