Kupiłeś Maka, iPhone'a czy iPada z drugiej ręki? Uważaj, żeby poprzedni właściciel nie skasował Twoich danych [aktualizacja]

W internecie wciąż jeszcze mówi się o przypadku byłego dziennikarza Gizmodo - Mata Honana, który stracił wszystkie swoje dane z iurządzeń za sprawą iCloud i supportu Apple, a już wypłynęła informacja o kolejnym problemie z iColud, który pozwala poprzedniemu właścicielowi, który odsprzedał swój laptop, tablet czy telefon marki Apple, odnaleźć swój dawny sprzęt i skasować na nim wszystkie dane, bez znajomości hasła Apple ID nowego właściciela sprzętu. Wygląda na to, że iCloud ma poważną lukę bezpieczeństwa. Zacznijmy jednak od początku, czym jest "Find my Mac/iPad/iPhone" i jak można napytać sobie przez niego biedy.

Urządzenia Apple posiadają funkcje "Znajdź mojego Maka/iPhone'a/iPada".Dzięki temu, jeśli zgubimy lub ukradną nam komputer, tablet lub telefon, możemy sprawdzić jego położenie. Jest też możliwość wyzerowania urządzenia do ustawień fabrycznych, kasując całą zawartość pamięci, co może zapobiec przejęciu wrażliwych danych przez złodzieja lub przypadkowego znalazcę. Jak dotąd wszystko ma sens, problem zaczyna się wówczas, kiedy do tej funkcji dobierze się osoba niepowołana i skasuje nam zdalnie wszystkie nasze dane.

Pierwszą możliwością jest po prostu złamanie niezbyt złożonego hasła, jednak jak pokazała historia Mata Honana to nie jedyne wyjście. W jego przypadku włamywacze zadzwonili do supportu Apple i podając się za właściciela konta poprosili o zresetowanie hasła do iCloud. Kiedy uzyskali dostęp do chmury Apple, dobrali się również do Gmaila, który był z iCloud synchronizowany. W efekcie zyskali dostęp do wszystkich innych serwisów, w których można odzyskać hasło na zasadzie podania swojego adresu mailowego. Jakby tego było mało, postanowili właśnie za pomocą "Find my Mac/iPad/iPhone" skasować wszystkie dane Mata z jego iPhone'a, iPada, jak również jego Maka. Samo konto Google również zostało usunięte. Support Apple okazał się najsłabszym ogniwem.

Czytaj dalej poniżej

Nie liczy się czy masz pomysł tylko czy potrafisz go "dowieźć" Grzegorz Marczak

Właściciele Kindle w UK kupują 4 razy więcej książek niż przed zakupem czytnika. E-booki górą? Jan Rybczyński

Ponieważ Apple odmawia komentarza w tej sprawie, nie wiadomo jak przebiegła cała procedura. Nie należy zapominać, że odzyskiwanie konta w wielu serwisach, w tym AppleID opiera się na pytaniach, na które teoretycznie tylko my znamy odpowiedzi. W praktyce na wiele z tych pytań można znaleźć odpowiedzi w publicznie dostępnych źródłach np. kto był naszym pierwszym nauczycielem. Jeśli Mat zastosował tego rodzaju pytania, trudno winić Apple, że zgodziło się zresetować hasło, jeśli włamywacze podali prawidłowe odpowiedzi.

Okazuje się jednak, że to nie jedyny sposób na skasowanie wszystkich danych na nie swoim urządzeniu. Sydney Morning Herald przytoczył ciekawą historię Australijczyka, który odkrył, że może wykorzystać usługę "Find my Mac" do śledzenia laptopa, który dawno sprzedał, a przed sprzedażą skasował całą zawartość dysku i przywrócił urządzenie do ustawień fabrycznych. Nie znał też hasła AppleID nowego właściciela laptopa. Oczywiście funkcja zdalnego kasowania zawartości komputera była również aktywna, co mogło doprowadzić do powtórki historii Mata.

Okazuje się, że jeśli przywracamy urządzenie Apple do ustawień fabrycznych w momencie gdy nie ma ono dostępu do sieci, niemożliwe jest odpięcie jego unikalnego numeru identyfikacyjnego od naszego konta na serwerach Apple. W efekcie nowy właściciel może skonfigurować system po swojemu, zalogować na swoje własne konto Apple, a mimo to dane urządzenie dalej będzie widniało w sekcji "Znajdź mojego Maka/iPhone'a/iPada" pierwszego właściciela i umożliwi zdalne skasowanie wszelkich danych. Błąd udało się potwierdzić powtarzając procedurę w kontrolowanych warunkach.

Dlatego jeśli chcemy poprawnie zresetować urządzenie do ustawień fabrycznych i odłączyć od swojego konta na serwerach Apple, musimy postępować zgodnie z instrukcją. Jeśli ktoś jest natomiast właścicielem urządzenia Apple kupionego z drugiej ręki, może on odłączyć numer seryjny urządzenia od innych kont AppleID jedynie zgłaszając się do supportu Apple. Problem w tym, że nie ma prostego sposobu, żeby sprawdzić, czy taka konieczność istnieje. Zapewne większość sprzedających nawet nie zdaje sobie sprawy, że sprzedali nie poprawnie zdezaktywowane urządzenie. Sam wielokrotnie przywracałem ustawienia fabryczne swojego iPada, nie zwracając uwagi na procedurę, nawet gdy poszedł w nowe ręce, całe szczęście do członka rodziny. Z kolei rozwiązywanie tego rodzaju problemów przez support może grozić podobnymi przypadkami, co opisana na początku historia Mata Honana, czyli nadużyć przy zastosowaniu socjotechniki

To nie wszystko, miesiąc temu został zgłoszony błąd w którym aplikacje uruchomione na urządzeniach Apple rozpoznawały użytkownika po numerze seryjnym urządzenia. W efekcie nowy właściciel iPhone'a mógł poznać historię rozmów z iMessage. Od czasu zgłoszenia Apple obiecało odrzucać aplikacje identyfikujące użytkownika jedynie za pomocą unikalnego numeru seryjnego sprzetu.

Wszystkie te trzy historie nie budują wizerunku iCloud jako super bezpiecznej platformy. Niezależnie od siły naszego hasła, oraz faktu trzymania wszystkich danych w chmurze, jedynym pewnym zabezpieczaniem jest regularny backup cennych danych również na własną rękę, na dysku zewnętrznym, a najlepiej dwóch, trzymanych w dwóch różnych lokalizacjach. W tak newralgicznych usługach jak iCloud konieczne jest stosowanie długiego i niesłownikowego hasła, którego nie używamy w żadnej innej usłudze. Polecam również unikanie zbyt prostych odpowiedzi w systemach odzyskiwania hasła, zwłaszcza takich, które można wyszukać w publicznie dostępnych danych. Osobiście w newralgicznych przypadkach również jako odpowiedź na pytanie wpisuję losowy ciąg znaków, podobny do hasła i zapisuje w menadżerze haseł na czarną godzinę. Warto też rozważyć, czy rzeczywiście chcemy korzystać z usługi "Find my Mac/iPad/iPhone".

Osobiście jestem zdania, że jedynym rozwiązaniem wielu problemów z bezpieczeństwem jest szyfrowanie całej zawartości urządzenia mobilnego czy komputera. Zarówno iPad, iPhone jak i wiele nowoczesnych komputerów jest wyposażonych w dyski SSD, bazujące na pamięci Flash, która w celu ograniczenia zbyt szybkiego zużycia nowe dane zapisuje w losowych komórkach. W efekcie nie można skasować pojedynczego pliku, tak aby nie udało się go odzyskać, przez wielokrotne nadpisanie go nowymi danymi. Jedynym sposobem skutecznego kasowania jest wielokrotne zapełnienie całej dostępnej pamięci. Problem w tym, że w warunkach normalnego używania jest to niemożliwe, a nawet gdy decydujemy się usunąć z pamięci wszystko, będzie to proces bardzo czasochłonny i obniżający żywotność dysku. Dlatego jestem zdania, że szyfrowanie jest jedynym wyjściem z sytuacji. (w tym miejscu odsyłam do aktualizacji) Dobrze jednak, aby producenci sprzętu przewidzieli taką opcje już na poziomie sprzętowym urządzenia. Programy firm trzecich często nie mają dostępu do zwartości całej pamięci, zwłaszcza gdy mówimy o urządzeniach mobilnych.

Aktualizacja

KHRoN zwrócił mi uwagę, że szyfrowanie sprzętowe w urządzeniach Apple, które miały fabrycznie iOS 3 lub nowszy, istnieje, tylko nie jest domyślnie włączone. Jeśli chcemy je włączyć musimy udać się do ustawień ogólnych i ustawić kod blokady, który stanie się swojego rodzaju PINem do odblokowania urządzenia. W efekcie ten kto nie zna kodu blokady, nie dostanie się do danych w żaden sposób. Można również ustawić, aby po 10 próbach wprowadzeniu błędnego kodu cała zawartość została usunięta. Sądzę, że każdy kto posiada na urządzeniach Apple wrażliwe dane (np. mail służbowy, hasło do banku), powinien szyfrowanie stosować.

Nie obejdzie się jednak bez krytycznej uwagi z mojej trony. Mimo, że używam iPada od dłuższego czasu i wielokrotnie konfigurowałem go do pierwszego użycia, zarówno czyszcząc zawarte w nim dane, jak i przesiadając się na nowszy model, umknęło mojej uwadze, że mogę zaszyfrować swoje dane. Owszem, zdawałem sobie sprawę z istnienia kodu blokady, ale nie wiedziałem, że wiąże się on również z szyfrowaniem sprzętowym. Odebrałem to raczej jako prostą blokadę ekranu. W ustawieniach nie ma informacji o szyfrowaniu. Jeśli ja na taką informację nie trafiłem, wbrew krytycznym komentarzom na temat mojej nieznajomości urządzeń Apple, wielu użytkowników iurządzeń również może nie zdawać sobie z tego sprawy. Moim zdaniem to spore niedopatrzenie i użytkownik powinien być informowany o możliwości zaszyfrowania całej zawartości urządzenia przy jego pierwszej konfiguracji. Ciesze się jednak, że szyfrowanie funkcjonuje i od razu postanowiłem z niego skorzystać.

Dziękuję KHRoNowi, że oprócz wskazania błędu, podesłał mi również informacje na omawiany temat. Gdyby każda krytyka była tak konstruktywna... marzenia :)

Źródła obrazów: [1], [2].