Если вы последние несколько дней не жили под камнем (а если так, то вы правильно сделали, что сразу пришли сюда), то наверняка слышали о публикации множества личных фотографий более чем сотни знаменитостей.
Эту утечку связывают с iCloud, но вина лежит не только на нём. Стало очевидно, что эти фотографии собирали из множества источников в течение некоторого времени. За такое нарушение обычно дают большие тюремные сроки, и, без сомнения, здесь будет то же самое, но, по-моему, многие недооценивают, сколько данных из iCloud было украдено на самом деле.
Вход в iCloud
Какие данные хранит iCloud?
Мы в Reincubate любим давать людям доступ к их данным. Сами пережив потерю данных, мы знаем, как много значит вернуть их. В последние недели мы разрабатывали и запускали API для получения и разбора ваших данных iCloud (если вашей компании может пригодиться такая услуга, давайте поговорим), поэтому мы кое-что знаем об отличной защите ваших данных, а также о том, чего можно добиться, зная сочетание Apple ID и пароля.
Имея ваши учётные данные и iPhone Backup Extractor с функциями iCloud, вы можете извлечь фотографии с iPad или iPhone (теперь мы все об этом знаем), а также все данные SMS, контакты, информацию из приложений (WhatsApp и других), и это лишь малая часть! Кроме того, вы получите доступ к другим функциям iCloud, которые не хранятся в резервной копии: например, отслеживать местоположение iPhone или загружать файлы, которые вы храните в iCloud, такие как документы, календарь, закладки и многое другое. Удобно!
Это совершенно замечательно, когда вы потеряли телефон и можете сохранить фотографии малыша, нужный деловой контакт или видео с пушистым питомцем. И так же незамечательно, когда эта информация попадает в руки злонамеренной третьей стороны.
Доступ к данным iCloud в iPhone Backup Extractor
Как данные утекли?
Как сказано выше, для доступа к этим данным необходимо сочетание Apple ID и пароля. Иного пути нет. (Если только у вас нет команды первоклассных криптографов, которые с помощью новаторской математики взламывают ведущий стандарт шифрования, но тогда у вас, скорее всего, найдутся дела получше.) Для подавляющего большинства людей найти Apple ID пользователя непросто, но помните, что это просто адрес электронной почты, а в зависимости от вашего присутствия в сети скрыть его бывает трудно. Хотя многие используют разные пароли для разных сервисов (и правильно делают), разные адреса электронной почты мы используем редко, поэтому, узнав адрес, использованный для одного сервиса, нетрудно предположить, что он подойдёт и для других.
Остаётся пароль, который можно подобрать или сбросить. Для сброса пароля нужен либо доступ к электронной почте, либо знание заданных вами секретных вопросов, а эту информацию бывает трудно раздобыть. Подбор же, напротив, не требует буквально никаких знаний о владельце учётной записи! Естественная реакция любой компании, серьёзно относящейся к безопасности, — усложнить подбор. Если у вас есть учётная запись Apple, вы, возможно, помните, сколько правил должен был соблюсти ваш пароль, чтобы считаться допустимым: это первый приём, который усложняет жизнь злоумышленнику. Доступ больше не получить благодаря наивному пользователю, который устанавливает пароль 123456 или вечно не оправдывающий ожиданий changeme.
«Хорошо, у нас надёжные (ну почти) пароли, что дальше?»
Вторая часть задачи — много попыток подбора. Здесь есть несколько хороших подходов. Один из них — сделать процедуру медленной: выполнять многие тысячи итераций хеширования или использовать «медленный» алгоритм (эта статья рассказывает об этом подробнее, если вам такое интересно). Это уменьшает число попыток в секунду, но можно сделать больше, и в большинстве случаев это делается. У нас предусмотрено несколько защитных мер, чтобы подбор учётных записей грубой силой просто нельзя было довести до конца.
Можно применять разные приёмы (например, отслеживать попытки входа и отключать учётные записи при подозрительной активности), но проблема в этом случае была в том, что существовал API входа, у которого не было дополнительной защиты. Злоумышленники обнаружили, что API функции «Найти iPhone» допускает любое количество попыток ввода пароля, а значит, им оставалось лишь перебрать список часто используемых паролей в надежде, что один подойдёт.
Вот и всё. Всё было так просто.
Но теперь это не так: как только брешь обнаружили, Apple оперативно её закрыла. Apple принимает ряд мер, чтобы не допустить несанкционированного доступа третьих лиц к данным пользователей, но и вы сами обязаны защищать свои данные, будь то в iCloud от Apple или в других приложениях и сервисах.
