במהלך הימים האחרונים, כתבתי מספר מאמרים הקשורים לגניבות תמונות של סלבריטאיםשעלה ביום ראשון. רבים מהפוסטים האלה התמקדוכמה בטוח-- או לא בטוח -- ספקי שירותי ענן שונים הם.

ביום שלישי, תוך כדי מחקר בנושאמקורן של גניבות אלוואת התרבות שסביבם, כל הזמן נתקלתי בהפניותמפסק סיסמאות טלפון אלקומסופט, פיסת תוכנה המכונה בפי העם EPPB בקהילות מחתרות שונות.

ראה גם:

EPPB היא תוכנית המאפשרת למשתמש להוריד גיבויים של iCloud משרתי iCloud של אפל למחשב. כשהם שם, ניתן לסרוק את הגיבויים למידע כולל גלילי מצלמה, הודעות, קבצים מצורפים למייל ועוד.

למעשה, האפליקציה מהנדסת לאחור את פונקציונליות "שחזור הגיבוי של iOS" של אפל, רק שבמקום להוריד את הנתונים המגובים למכשיר פיזי, היא מורידה אותם לענן.

האפליקציה, שעולה בין $79.99 ל-$400 בהתאם לגרסה, יכולה לשמש גם כדי לאחזר גיבויים מ-Windows Live (כיום OneDrive) ולפתוח גישה לגיבויים של BlackBerry, BlackBerry 10 ו-iOS.

מעיון בלוחות תמונות שונים ב-4Chan וב-AnonIB, ברור ש-EPPB הוא הכלי המועדף עבור רוב האנשים המעורבים בסוגי ה"קרעים" של iCloud כפי שהם ידועים, אשר מאמינים שהם במרכז גניבות התמונות של ידוענים.

EPPB אפילו מבטיח לאפשר למשתמשים לגשת לגיבויים של iCloud ללא סיסמה. כן, יש אזהרות, אבל ההבטחה הזו הייתה מסקרנת.

סקרנית (וקצת מודאגת), החלטתי להבין איך התוכנה הזו עובדת ולנסות לחשוב כמה קל יהיה לכל אחד לעשות את שלו כדי לפרוץ לחשבון iCloud. היעד הראשוני שלי היה עצמי, אם כי עד מהרה גיליתי שיהיה קל להפליא להשתמש בתוכנה מסוג זה כדי לגשת לגיבויים של iCloud של עמיתיי, בן זוגי ורבים מבני משפחתי.

תמורת 200$ בלבד, וקצת מזל, הצלחתי לפצח את הסיסמה שלי ל-iCloud ולהשתמש ב-EPPB כדי להוריד את כל הגיבוי של iCloud מהאייפון שלי. עבור $400, יכולתי למשוך בהצלחה את נתוני iCloud שלי ללא סיסמה ועם פחות מ-60 שניות של גישה למחשב Mac או Windows שבו הייתי מחובר ל-iCloud.

הפריצה ל-iCloud היא הרבה יותר קלה ממה שחשבתי שזה יהיה

אפילו לאחר שקראתי דרך לוחות תמונות שונים וראיתי התפארות על כמה קל היה "לקרוע" גיבויים של iCloud, עצרתי בתקווה שהתהליך של הורדת נתוני iCloud שלי בפועל יהיה מעט קשה.

בטח, רבים מהמתהדרים נשמעו לא אינטליגנטיים (ולא מתמצאים בטכנולוגיה באופן שרוב סוגי הקרקרים הטובים הם בדרך כלל) ובטוח שלאתר EPPB היו צילומי מסך פשוטים להחריד, אבל אין ספק שתהליך הפריצה לחשבון ה-iCloud שלי יהיה קָשֶׁה. יָמִינָה?

טָעוּת. כל מה שאתה צריך הוא סיסמת iCloud של מישהו ואז, אימות דו-שלבי או לא, אתה יכול להוריד את התוכן של גיבויי ה-iCloud שלו בתוך דקות.

אוקיי, אז איך מישהו משיג סיסמת iCloud? ובכן, שוב, זה היה קל יותר ממה שחשבתי שזה יכול להיות.

כפי שמתאר ניק קוברילוביץ' בכתבופוסט מצויןעל גניבת הנתונים, ישנם כמה וקטורים נפוצים (כלומר, חורים לתקיפה) להשגת סיסמת iCloud. Cubrilovic מפרט אותם לפי סדר הפופולריות והיעילות:

איפוס סיסמה (שאלות / תשובות סודיות)

דוא"ל דיוג

שחזור סיסמה (חשבון דואר אלקטרוני נפרץ)

הנדסה חברתית / התקנת RAT / מפתחות אימות

האפשרות הראשונה, באמצעות איפוס סיסמה, יכולה להיות יעילה להפליא. כפי שמציין Cubrilovic, "חשבונות אפל נראים פגיעים במיוחד בגלל תהליך השחזור, דרישות הסיסמה והיכולת לזהות אם לכתובת אימייל יש חשבון iCloud משויך".

"תהליך השחזור מחולק לשלבים וייכשל בכל נקודה. בעוד אפל לא חושפת אם כתובת אימייל היא כתובת iCloud חוקית כחלק מתהליך השחזור, הם כן חושפים אם היא תקפה או לא אם אתה מנסה הירשם לחשבון חדש באמצעות אותו דוא"ל - כך שאימות (או ניסיונות כוח גס) הם פשוטים. השלב השני הוא אימות תאריך הלידה והוא יעבור או ייכשל על סמך הנתונים האלה בלבד, כך שניתן לנחש, בעוד השלב האחרון. הם שני האבטחה שאלות."

במילים אחרות, קל מאוד להבין אם חשבון דוא"ל מחובר למזהה אפל. זה שלב ראשון. שלב 2 הוא פשוט כמו לדעת את יום ההולדת של יוצר החשבון. מידע זה זמין לרוב, הודות לפייסבוק, דוחות אשראי ומידע אחר ברחבי האינטרנט. עבור מפורסמים, המידע הזה יכול להיות אפילו בוויקיפדיה. השלב הבא, שדורש מענה על שתי שאלות אבטחה. זה מסתכם בהנדסה חברתית פשוטה.

כמבחן, החלטתי לראות אם אוכל לאפס בהצלחה את סיסמת חשבון Apple ID עבור אחותי (סליחה, קלי). הכנסתי את שם המשתמש שלה ב-iCloud ואת תאריך הלידה שלה, ואז נתקלתי בשתי שאלות אבטחה.

מסתבר שידעתי רק את התשובה לאחת מהשאלות. עם זאת, פשוט לחיצה על "רענן" בדף השאלה, הובילה אותי לשילוב חדש של שאלות. בסופו של דבר, הצלחתי לקבל זוג שאלות שיכולתי לענות עליהן. וואלה, אפס.

עד יום שני, התהליך היה יכול להיות אפילו יותר קל, הודות לכלי כוח גס שניצלמצא את האייפון שליהיעדר הגבלת תעריפים. אפל סגרה מאז את החור הזה, אבל עם סיסמה גרועה במיוחד וקצת זמן (כדי לא להגביר את הגבלת התעריף), גם זו אופציה.

למעשה, הצלחתי להשתמש בכלי דמוי iBrute כדי לפצח את הסיסמה שלי (שאם להיות ברור, נבחרה להיות קלה מאוד לפיצוח. כאילו, זה היה Passw0rd1. אפל לא נתנה לי להשתמש ב-Passw0rd, אבל Passw0rd1 היה בסדר גמור.).

אז ברגע שיש לך סיסמת iCloud, מה תוכל לעשות אז?

ובכן, זה המקום שבו EPPB נכנס למקום. התוכנית, שפועלת על Windows, פשוט מבקשת את שם המשתמש והסיסמה של חשבון iCloud המדובר. פשוט התחבר ותקבל את פניך עם גיבויי המכשיר הזמינים מאותו משתמש מסוים.

אתה יכול לראות מה ראיתי אחרי שפיצחתי בכוונה את הסיסמה הגרועה מאוד שלי:

כעת, זה יוריד הכל מהגיבוי האחרון שלי ב-iCloud. זה בעצם זהה לגיבוי של iTunes שהיית עושה בדרך כלל במחשב שלך, אבל למעט חריג גדול: הנתונים אינם מוצפנים. עם iTunes, אתה יכול לבחור להצפין את גיבויי הטלפון שלך, מה שידרוש קוד סיסמה או קוד אבטחה נוסף כדי לגשת. עם גיבויים של iCloud, זה לא המקרה.

למרות שקובץ ה-iOS Keychain מוצפן (אבל יש כלים שיכולים לעזור לפצח את זה), הקבצים עצמם, כולל סרט המצלמה שלך, היסטוריית השיחות, הודעות ונתונים אחרים אינם כאלה.

EPPB אפילו מאפשר למשתמשים לבחור אילו נתונים הם רוצים לקבל. אז אם אתה רק מעוניין בגלגלת המצלמה, הכוללת את כל התמונות והסרטונים המאוחסנים בטלפון, אתה יכול לעשות זאת.

מכאן, זה פשוט כמו הורדת הגיבוי לתיקיה ייעודית. רבים מהמרטשים של iCloud נוטים להשתמש ב-Google Drive וב-Dropbox כתיקיית היעד עבור ההעתקים הללו, מכיוון שזה מקל על שיתוף הדברים עם אחרים.

לאחר מכן, ניתן להשתמש בכל מספר של כלי עזר לצפייה לגיבוי של iPhone כדי לגשת לנתונים בצורה קלה לשימוש.

העלות של התרגיל הזה? רק 200 דולר אם אתה קונה את התוכנה ישירות מאלקומסופט. זה גם לא צריך להיות מפתיע שעותקים מפוצצים של הכלים של אלקומסופט זמינים בכל רחבי האינטרנט, אם כי אני מתאר לעצמי ששיעור ההצלחה עם העותקים האלה ירד ככל שהתוכנה זכתה לתשומת לב רבה יותר של הציבור.

למרות שסיסמת ה-iCloud שלי נבחרה בכוונה שתהיה קלה לפיצוח, אני רוצה להבהיר דבר אחד: הפעלתי אימות דו-גורמי בחשבון הזה.

כפי שציינו בעבר, היישום הדו-גורמי של אפל אינו מגן על הנתונים שלך, הוא מגן רק על פרטי התשלום שלך. כן, אם הפעלת אימות דו-שלבי, תהליך איפוס הסיסמה לחשבון עלול להפריע מאוד (עליך לספק מפתח חד פעמי מיוחד לפני שתוכל לאפס סיסמה), אבל בהנחה שמישהו יכול לקבל את הסיסמה שלך בכל מקרה באמצעות כל מספר של שיטות דיוג או גישה מרחוק, אימות דו-גורמי אינו נדרש לחלוטין עבור גישה לגיבוי iCloud.

בעיני זה חור עצום בטירוף במערכות האבטחה של אפל. וזה לא גילוי חדש. החור הזה הודגש על ידי אלקומסופט, היוצרים של EPPB במאי 2013. צוות אלקומסופט אפילו נתןמצגות אבטחה על פגם זה.

מה שהופך את זה לגרוע עוד יותר הוא שאפל כןעידוד משתמשיםלהשתמש ב"סיסמאות חזקות ואימות דו-שלבי". זה הכל טוב ויפה, אבל במקרה הזה, אימות דו-שלבי לא היה משנה. אם מישהו יכול לקבל גישה פיזית או מרחוק למחשב שמשתמש ב-iCloud או לשכנע בהצלחה משתמש ללחוץ על הודעת דיוג עבור iTunes ולקבל סיסמה, ניתן להוריד גיבוי iCloud מרחוק, אימות דו-גורמי או לא.

תמורת 400 דולר יכולתי לגנוב נתוני iCloud מכל מי שנמצא במשרד שלי

הגרסה ה"מקצועית" הבסיסית של EPPB של Elcomsoft מאפשרת למשתמשים להוריד נתוני iCloud עם שם משתמש וסיסמה. תמורת 400 דולר, הגרסה הפורנזית של התוכנה הולכת צעד אחד קדימה: אתה אפילו לא צריך גישה לסיסמה. אתה רק צריך לקבל גישה מרחוק או פיזית למכונה שבה מישהו מחובר ללוח הבקרה של iCloud.

זה בגלל שלאלקומסופט ישיצר כלישיכול להציע גישה לגיבויים של iCloud פשוט על ידי העתקת אסימון אימות iCloud מ-Windows או OS X.

תוכנית קטנה כלולה ב-EPPB שניתן להפעיל משורת הפקודה ב-Windows או OS X. התוכנית מחפשת לראות אם למשתמש מותקן לוח הבקרה של iCloud עבור Windows (או אם המשתמש מחובר ל-iCloud ב-OS X) ואם כן, הוא מעתיק אסימון אימות מהמקום המתאים ומעתיק אותו לקובץ טקסט להעתקה קלה.

אז פשוט הזן את האסימון הזה ל-EPPB והרי, אתה יכול להתחבר ולהוריד נתוני iCloud. אתה אפילו לא צריך כתובת אימייל של iCloud או Apple ID של משתמש.

עבורי, סוג ההתקפה הזה הוא הצורם ביותר מכיוון שהוא מראה באיזו קלות אנשים רגילים בחיינו יכולים לגשת לגיבויים בענן שלנו.

יכולתי די בקלות לקחת כונן USB ממכונה למכונה על פני המשרדים של Mashable ולהפעיל את התוכנית ואז לקבל אסימוני אימות של iCloud. זה ייקח לי פחות מ-60 שניות לעשות, 30 שניות אם הייתי סופר מהיר.

זה לא אמור להיות אפשרי. אם אפל לא תצפין גיבויים של iCloud (מה שצריך), לכל הפחות, זה אמור להפוך את אסימון האימות המאוחסן ב-Windows או OS X קשה יותר לגישה. אני יכול לתת לאפל להעביר הרבה היבטים של אבטחה, אבל זו רק שעת חובבים.

יתרה מכך, זה מוכיח עד כמה קל יהיה לרשויות אכיפת החוק או לממשלה לגשת לנתוני ענן ממשתמשים אם יש להם רק גישה פיזית (או מרחוק) למחשב.

הבנת מה זה EPPB ומדוע הוא קיים

קל יהיה לרצות להאשים את הכלים (במקרה זה, EPPB) בהפיכת גיבויי iCloud לנגישים כל כך.

עם זאת, האמת היא שהכלים הללו קיימים מסיבה כלשהי ויש להם מטרות תקפות רבות.

אחד מקהלי היעד של כלים כמו EPPB הוא רשויות אכיפת החוק, חנויות תיקונים ומנהלי IT. רשויות אכיפת החוק משתמשות לעתים קרובות בכלים פורנזיים כדי לנסות לשחזר מידע ממכשירים דיגיטליים שעשוי לשמש כראיה לפשע.

סוגים אלה של תוכנות גם אינם חדשים. כל עוד אנחנו מציבים מנעולים לדלתות וכספות, היה שוק משני של מנעולנים ופצחי כספות.

בעולם המחשוב השולחני, קיים פלח שוק שלם המוקדש ליישומים לזיהוי פלילי מחשבים, שחזור נתונים וגישה לחשבון.

כשהייתי בקולג', עבדתי כטכנאי לתיקון PC ו-Mac ברשת גדולה גדולה של קופסאות. אז (אנחנו מדברים לפני עשור), השתמשתי ברבים מהכלים האלה כשעבדתי על מכונות של לקוחות.

נהגתי להחזיק מקלות USB, DVD ותקליטורים טעונים באפליקציות כגוןמפקד ERD, BartPE ואיפוס סיסמה לא מקוון של NTבהישג יד. עד היום, אני עדיין שומר על אוסף תוכנות לזיהוי פלילי של Mac כדי שאוכל לאבחן טוב יותר ולהצליח בתיקון המחשבים הנייחים והמחשבים הניידים השונים של Mac ברשת הביתית שלי.

וזו הסיבה שאני כנראה לא צריך להיות מופתע כמוני מהכלים המשפטיים הזמינים לסמארטפונים.

ובכל זאת, למרות שאני מסכים לחלוטין שכלים כמו EPPB ראויים להתקיים (ואפילו יכולים להיות שימושיים עבור אלה שמטרתן לא מרושעת), אני עדיין קצת מבואס שהכלים זולים ונגישים כמוהם. . אולי אני פשוט תמים, אבל לא ציפיתי שלנתוני הענן שלי יהיה קל לגשת כמו שהוא. גם לא ציפיתי שיהיה נגיש מתוכנה עם ממשק משתמש מוצק ועם תג מחיר נמוך יחסית.

תוכנית של 200 דולר (או אפילו 400 דולר) עשויה להיות תלול עבור חלק מהמשתמשים, אבל היא הרבה פחות יקרה מאלפי הדולרים למושב עבור ערכות כלים משפטיות אחרות לטלפונים ניידים. זו כנראה אחת הסיבות לכך ש-EPPB הפך לכלי ה-4chan ו-AnonIB המועדפים. זה זול, ניתן לפצח את ה-DRM ואין דרישת דונגל שמגיעה לרוב עם התוכנה היקרה יותר המכוונת לאכיפת החוק.

EPPB יודעת שיש לה מוניטין שיש לה את זהאפליקציות המשמשות לפריצת iCloudותגובת החברה היא כפי שהיית מצפה: "מצטערים שהתוכנה שלנו משמשת בצורה כזו, אבל זו לא הכוונה". ולמען האמת, אני בסדר עם העמדה הזו. כל עוד יש מנעולים, יהיו קוטפי מנעולים.

עם זאת, לאחר שאמרתי זאת, אני מאמין שחלק מהנטל מוטלת על ספקי הענן להקשות על העבודה של הנדסה לאחור מסוג זה של פתרונות.

הצעדים שאפל צריכה לנקוט כעת כדי לשפר את אבטחת iCloud

בעזרת הניסיון שלי בפריצה לחשבון ה-iCloud שלי (ולחשבון של אחותי) וגישה לנתוני iCloud מ-EPPB, אני רואה כמה דברים ברורים מאוד שאפל יכולה לעשות שיקשה על אנשים לגשת לנתוני iCloud, אפילו עם תוכנה משפטית .

הצפין גיבויים של iCloud. אני מבין שהצפנת גיבויים תגרום לתהליך שחזור הטלפון להיות ארוך יותר ושתהיה לכך השפעה שלילית על הלקוח, אבל אני חושב שזה משהו שאפל צריכה לעשות בכל מקרה. אני ארגיש טוב יותר אם ההורדה שמישהו קיבל מ-iCloud הייתה מוצפנת ושניתן לבטל את נעילת המפתח רק במכשיר שאליו אני נכנס במיוחד.

הפסק לאחסן אסימוני אימות של iCloud בטקסט רגיל. זה מטורף שיכולתי לגשת לגיבויים של עמיתיי ב-iCloud רק על ידי שהייה של 60 שניות ליד המחשב שלהם. תפסיק לאחסן את הנתונים האלה בטקסט פשוט כדי למנוע דברים מסוג זה לקרות.

לְעַדְכֵּן:שמעתי ממספר קוראים שהצפנת אסימון האימות אינה אפשרות ריאלית. אני לא בטוח מה הפתרון לבעיה הזו, אבל צריך להכיר בכך שזהו וקטור פוטנציאלי לגישה לנתוני iCloud.

הפוך אימות דו-גורמי למעשה להגן על משהו יותר מאשר רק אמצעי תשלום. תראה, אני מבין שעבור רוב המשתמשים, הצורך הדחוף ביותר הוא להגן מפני אנשים שמנסים לגנוב את פרטי כרטיס האשראי שלך, לא את התמונות שלך. אבל כפי שהראו גניבות התמונות של הסלבריטאים, יש תת-תרבות מחתרתית שלמה של אנשים המחויבים לפרוץ לחשבונות של חברים, מכרים, בני זוג, חברות וחברות לשעבר. המשתמש הממוצע לא צריך להיות מודאג מאדם זר שיפרוץ לחשבון שלו, הוא צריך להיות מודאג לגבי כמה קל יהיה למישהו שהוא מכיר לעשות זאת. אימות דו-גורמי המחובר לגיבוי iCloud יעזור לעשות את זה הרבה, הרבה יותר קשה.

הפוך אימות דו-גורמי לקל יותר להגדרה. התהליך הנוכחי של אפל הוא אד-הוק במקרה הטוב ואינו קל להגדרה. לא רק שזה לוקח שלושה ימים לעשות, התהליך כולו אינו ידידותי למשתמש. תעשה את זה טוב יותר.

לִהיוֹתשקוף יותרעל מידת האבטחה של גיבויי iCloud וכמה קל לאחרים לגשת לנתונים האלה.

מבחינתי, לראות עד כמה קל יהיה למישהו לגשת לנתוני ה-iCloud שלי, אפילו עם אימות דו-שלבי מופעל, לא נוח לי.

אני לא מתכוון להשבית את iCloud או את תכונת הגיבוי האוטומטי שלו. אני עדיין הולך לשלם עבור אחסון נוסף של iCloud. ובכל זאת, זה גורם לי לחשוב מחדש על כמה מהתוכניות שלי לתשלום עבור שטח אחסון נוסף ברגע שאפל חושפת את תוכניות התמחור החדשות שלה לצד iOS 8. חשבתי שאתחיל לשים יותר מהמסמכים שלי מה-Mac שלי גם ב-iCloud. עכשיו, אני לא כל כך בטוח.

הדבר הכי מפחיד בכל זה הוא העובדה שזה רק חוזר ומדגיש כמה אבטחת מידע, כתעשייהצריך לשפר. עלינו לשפר את אופן חינוך המשתמשים, כיצד מיושמות מערכות וכיצד מפחיתים איומים.