S3 Ep99: TikTok „támadás” – volt adatszivárgás, vagy nem? [Hang + szöveg]

Kattintson és húzza az alábbi hanghullámokat, hogy bármelyik pontra ugorjon. Te is hallgatni közvetlenül a Soundcloudon.

DOUG.  Nulla nap, több nulla nap, TikTok, és szomorú nap a biztonsági közösség számára.

Mindez és még sok más, a Naked Security podcastban.

[ZENEI MODEM]

Üdvözlünk mindenkit a Naked Security podcastban.

Doug Aamoth vagyok.

Velem, mint mindig, Paul Ducklin.

Paul, hogy vagy ma?

---

KACSA.  Nagyon-nagyon jól vagyok, köszönöm, Douglas!

---

DOUG.  Nos, kezdjük a műsort a Tech History szegmensünkkel.

Örömmel közlöm: ezen a héten, 09. szeptember 1947-én egy valós lepkét találtak a Harvard Egyetem Mark II számítógépében.

És bár a „hiba” kifejezés használata a mérnöki hibák jelölésére vélhetően évek óta használatos volt, úgy vélik, hogy ez az incidens vezetett a ma már mindenütt jelen lévő „hibakereséshez”.

Miért?

Mivel miután eltávolították a lepkét a Mark II-ről, felragasztották a mérnöki naplóba, és „Az első eset, amikor tényleges hibát találtak” felirattal.

Imádom azt a történetet!

---

KACSA.  Én is!

Azt hiszem, az első bizonyíték, amit erre a kifejezésre láttam, nem volt más, mint Thomas Edison – azt hiszem, ő használta a „hibák” kifejezést.

De természetesen 1947 lévén ez volt a digitális számítástechnika korai napjai, és még nem minden számítógép működött szeleppel vagy csövekkel, mert a csövek még mindig nagyon drágák voltak, nagyon melegek voltak, és sok áramot igényeltek.

Tehát ez a számítógép, bár képes volt trigonometriára és egyebekre, valójában reléken – elektromechanikus kapcsolókon – alapult, nem tisztán elektronikus kapcsolókon.

Egészen elképesztő, hogy a relé alapú számítógépek még az 1940-es évek végén is léteztek… bár nem sokáig lesznek ilyenek.

---

DOUG.  Nos, Paul, mondjuk a zűrzavaros dolgok és hibák témájában.

Az embereket felkavaró dolog a TikTok kérdése.

Vannak jogsértések, és vannak jogsértések… ez valójában jogsértés?

---

KACSA.  Ahogy mondod, Douglas, ez egy rendetlen dolog lett…

Mert ez egy hatalmas történet volt a hétvégén, nem?

„TikTok megsértése – Mi volt valójában?”

Első pillantásra úgy hangzik, hogy „Hú, 2 milliárd adatrekord, 1 milliárd felhasználó kompromittálódott, hackerek jutottak be”, és miegymás.

Jelenleg többen is rendszeresen foglalkoznak adatszivárgásokkal, köztük Troy Hunt of Megkötöttem, minta-pillanatfelvételeket készítettek azokról az adatokról, amelyeket feltételezhetően „elloptak”, és elmentek keresni.

És úgy tűnik, hogy a konszenzus pontosan azt támasztja alá, amit a TikTok mondott, nevezetesen, hogy ezek az adatok egyébként is nyilvánosak.

Úgy tűnik tehát, hogy ez egy adatgyűjtemény, mondjuk a videók óriási listája… amit szerintem a TikTok valószínűleg nem akarna, hogy csak magadnak tölthesd le, mert azt szeretnék, ha végigmennél a platformon. és használja a linkjeit, és nézze meg a hirdetéseiket, hogy bevételt szerezhessen a cuccból.

De úgy tűnik, hogy a listákon szereplő adatok egyike sem volt bizalmas vagy privát az érintett felhasználók számára.

Amikor Troy Hunt megkereste és kiválasztott egy véletlenszerű videót, az a videó a felhasználó neve alatt jelent meg nyilvánosként.

A „sértésben” szereplő videóra vonatkozó adatok pedig nem azt mondták, hogy „Ó, és mellesleg itt van az ügyfél TikTok azonosítója; itt van a jelszókivonat; itt az otthoni címük; itt van azoknak a privát videóknak a listája, amelyeket még nem tettek közzé”, és így tovább.

---

DOUG.  Rendben, tehát ha TikTok-felhasználó vagyok, van itt egy figyelmeztető történet?

Kell valamit tennem?

Hogyan érint ez engem felhasználóként?

---

KACSA.  Csak erről van szó. Doug – Azt hiszem, sok erről írt cikk kétségbeesetten próbált valamiféle következtetést levonni.

Mit lehet tenni?

Tehát az égető kérdés, amit az emberek feltesznek: „Nos, meg kell változtatnom a jelszavamat? Be kell kapcsolnom a kéttényezős hitelesítést?”… az összes szokásos dolog, amit hall.

Ebben az esetben úgy tűnik, hogy nincs szükség a jelszó megváltoztatására.

Nincs arra utaló jel, hogy a jelszókivonatokat ellopták volna, és most milliónyi bitcoinbányász [NEVETÉS] vagy bármi hasonló feltörheti.

Semmi sem utal arra, hogy a felhasználói fiókok ennek eredményeként könnyebben megcélozhatók.

Másrészt, ha van kedve megváltoztatni a jelszavát… megteheti.

Manapság az általános ajánlás, hogy rendszeresen, rendszeresen és gyakran változtasd meg a jelszavadat *ütemezés szerint* (például „havonta egyszer változtasd meg a jelszavadat minden esetre”) rossz ötlet, mert a [ROBOTIC VOICE] – csak – megkapja – – egy – ismétlődő – szokásba, ami nem igazán javít a dolgokon.

Mivel tudjuk, hogy az emberek mit csinálnak, csak a jelszó végére írnak: -01, -02, 03.

Szóval szerintem nem kell módosítania a jelszavát, bár ha úgy dönt, hogy megteszi, jó neked.

Saját véleményem az, hogy ebben az esetben semmit sem változott volna, ha bekapcsolta-e a kéttényezős hitelesítést.

Másrészt, ha ez egy olyan incidens, amely végre meggyőz, hogy a 2FA-nak valahol helye van az életedben…

…akkor talán, Douglas, ez egy ezüst bélés!

---

DOUG.  Nagy.

Szóval figyelni fogjuk.

De úgy tűnik, hogy a rendszeres felhasználók nem sokat tehettek volna erről…

---

KACSA.  Kivéve, hogy talán van egy dolog, amit tanulhatunk, vagy legalábbis emlékeztethetjük magunkat róla.

---

DOUG.  Azt hiszem, tudom, mi jön. [NEvet]

Rímel?

---

KACSA.  Lehetséges, Douglas. [NEvet]

Basszus, olyan átlátszó vagyok. [NEVETÉS]

Legyen tudatában/mielőtt megosztaná.

Ha egyszer valami nyilvános, akkor *tényleg nyilvános*, és ez ilyen egyszerű.

---

DOUG.  Oké nagyon jó.

Legyen tisztában, mielőtt megosztja.

Tovább haladva a biztonsági közösség elveszített egy úttörőt Peter Eckersley-ben, aki 43 évesen elhunyt.

Ő volt a Let's Encrypt társalkotója.

Szóval, meséljen egy kicsit a Let's Encrypt és Eckersley öröksége, ha megtennéd.

---

KACSA.  Nos, egy csomó dolgot csinált sajnos rövid életében, Doug.

Nem gyakran írunk gyászjelentéseket a Naked Security-ről, de ez az egyik olyan, amelyről úgy éreztük, hogy muszáj.

Mert, ahogy mondod, Peter Eckersley minden egyéb tevékenysége mellett a Let's Encrypt egyik társalapítója volt, annak a projektnek, amely az olcsó (azaz ingyenes!), de ami a legfontosabb, megbízható és könnyen szerezhet HTTPS-tanúsítványokat webhelyéhez.

És mivel Let's Encrypt tanúsítványokat használunk a Naked Security és a Sophos News blogoldalakon, úgy éreztem, tartozunk neki legalább egy megemlítéssel ezért a jó munkájáért.

Mert bárki, aki valaha is vezetett weboldalt, tudni fogja, hogy ha néhány évet visszamegy, egy HTTPS-tanúsítványt, egy TLS-tanúsítványt kap, amely lehetővé teszi, hogy lakatot tegyen látogatói webböngészőjébe, ami nem csak pénzbe kerül, ami otthoni felhasználóknak, hobbistáknak , jótékonysági szervezetek, kisvállalkozások, sportklubok nem engedhették meg maguknak… *igazi gond volt*.

Volt ez az egész eljárás, amelyen keresztül kellett menned; nagyon tele volt szakzsargonnal és technikai dolgokkal; és minden évben újra kellett csinálnod, mert nyilván lejárnak… ez olyan, mint egy autó biztonsági ellenőrzése.

Végig kell mennie a gyakorlaton, és be kell bizonyítania, hogy még mindig Ön tudja módosítani azt a tartományt, amelyről azt állítja, hogy az irányítása alatt áll, és így tovább.

A Let's Encrypt ezt nem csak ingyen tudta megtenni, hanem képes volt automatizálni is a folyamatot… és negyedévente, ami azt is jelenti, hogy a tanúsítványok gyorsabban lejárhatnak, ha valami baj van.

Elég gyorsan sikerült bizalmat kiépíteniük ahhoz, hogy a nagy böngészők hamarosan azt mondták: „Tudod mit, mi bízni fogunk a Let's Encrypt-ben, hogy kezeskedjünk mások webtanúsítványaiért – ez az úgynevezett gyökér CA, vagy tanúsító hatóság.

Ezután a böngésző alapértelmezés szerint megbízik a Let's Encrypt szolgáltatásban.

És igazából mindezek a dolgok összejöttek, ami számomra a projekt fensége volt.

Nem csak arról volt szó, hogy ingyenes volt; nem csak arról volt szó, hogy könnyű volt; nem csak arról volt szó, hogy a böngészőgyártók (akik köztudottan nehéz rávenni, hogy bízzanak benned) úgy döntöttek: „Igen, megbízunk bennük.”

Mindezek a dolgok együttesen jelentették a nagy változást, és segítettek elérni a HTTPS-t szinte mindenhol az interneten.

Ez csak egy módja annak, hogy egy kis plusz biztonságot adjunk a böngészésünkhöz…

…nem annyira a titkosítás miatt, mivel folyamatosan emlékeztetjük az embereket, hanem arra a tényre, hogy [A] esélye van a harcra, hogy valóban egy olyan webhelyhez csatlakozott, amelyet az a személy manipulál, akinek manipulálnia kellett volna, és hogy [B] amikor a tartalom visszatér, vagy amikor kérést küld neki, nem lehet könnyen megváltoztatni az út során.

A Let's Encrypt-ig bármely csak HTTP-t használó webhelyen a hálózati úton szinte bárki kémkedhetett az után, amit éppen néz.

Rosszabb esetben módosíthatják – akár mit küld, akár mit kapsz vissza –, és *egyszerűen nem tudtad megmondani*, hogy rosszindulatú programokat töltöttél le a valódi ajánlat helyett, vagy álhíreket olvasol a igazi történet.

---

DOUG.  Rendben, azt hiszem, illik egy nagyszerűvel zárni egyik olvasónk megjegyzése, Samantha, aki úgy tűnik, ismerte Mr. Eckersleyt.

Ő mondja:

„Ha van valami, ami mindig eszembe jut a Pete-tel való kapcsolataimról, az a tudomány és a tudományos módszer iránti elkötelezettsége. A kérdések feltevése a tudósi lét lényege. Mindig nagyra fogom tartani Pete-et és a kérdéseit. Számomra Pete olyan ember volt, aki értékelte a kommunikációt és a kíváncsi egyének közötti szabad és nyílt eszmecserét.”

Jól mondta, Samantha – köszönöm.

---

KACSA.  Igen!

És ahelyett, hogy azt mondanám, hogy RIP [a Nyugodj békében rövidítése], azt hiszem, azt mondom, hogy CIP: Code in Peace.

---

DOUG.  Nagyon jó!

Rendben, nos, a múlt héten beszéltünk egy csomó Chrome-javításról, majd egy újabb felbukkant.

Ez pedig egy volt fontos egy…

---

KACSA.  Valóban az volt, Doug.

És mivel a Chromium magra vonatkozott, a Microsoft Edge-re is vonatkozott.

Szóval, éppen a múlt héten beszéltünk azokról… mi volt az, 24 biztonsági résről.

Egy kritikus volt, nyolc vagy kilenc magas.

Mindenféle memóriakezelési hiba van benne, de egyik sem volt nulladik nap.

Ezért beszéltünk erről, mondván: „Nézze, ez egy kis üzlet nulladik nap szempontjából, de nagy ügy a biztonsági javítások szempontjából. Lépj előre: ne késlekedj, tedd meg még ma.”

(Bocs, megint rimánkodtam, Doug.)

Ezúttal egy újabb frissítésről van szó, amely alig néhány nappal később jelent meg, mind a Chrome-hoz, mind az Edge-hez.

Ezúttal csak egy biztonsági rést javítottak ki.

Nem egészen tudjuk, hogy kiváltságemelésről vagy távoli kódfuttatásról van-e szó, de komolyan hangzik, és ez egy nulladik nap, a vadonban már ismert exploittal.

Azt hiszem, a jó hír az, hogy mind a Google, mind a Microsoft, mind más böngészőgyártók képesek voltak alkalmazni ezt a javítást, és nagyon-nagyon gyorsan ki tudták hozni.

Nem hónapokról vagy hetekről beszélünk… csak néhány nap egy ismert nulladik naphoz, amelyet nyilvánvalóan az utolsó frissítés megjelenése után találtak meg, ami csak a múlt héten volt.

Szóval ez a jó hír.

A rossz hír természetesen az, hogy ez egy 0-napos – a csalók rajta vannak; már használják.

A Google kissé kaján volt a „hogyan és miért” kérdéssel kapcsolatban… ez arra utal, hogy valami nyomozás folyik a háttérben, amit talán nem akarnak veszélyeztetni.

Tehát ismét egy „Javítás korán, foltozzon gyakran” helyzet – ezt nem hagyhatja csak úgy.

Ha a múlt héten foltoztatta, akkor újra meg kell tennie.

A jó hír az, hogy a Chrome-nak, az Edge-nek és manapság a legtöbb böngészőnek frissítenie kell magát.

De mint mindig, érdemes ellenőrizni, mert mi van, ha az automatikus frissítésre hagyatkozik, és csak most az egyszer nem működik?

Nem lenne ez 30 másodperc a jól eltöltött időből annak ellenőrzésére, hogy valóban a legújabb verzióval rendelkezik-e?

Rendelkezünk minden vonatkozó verziószámmal és tanácsunkkal [a Naked Security-ről], hogy hova kattintson a Chrome és az Edge használatához, hogy biztosan a böngészők legújabb verziójával rendelkezzen.

---

DOUG.  És rendkívüli hír mindenkinek, aki tartja a pontszámot…

Most néztem meg a Microsoft Edge verziómat, és ez a megfelelő, naprakész verzió, tehát frissítette magát.

Rendben, végül, de nem utolsósorban, van egy ritka, de sürgős Apple frissítés iOS 12-re, amelyről mindannyian úgy gondoltuk, hogy elkészült és leporolt.

---

KACSA.  Igen, ahogy a meztelen biztonságról szóló cikk első öt szavában írtam: „Nos, erre nem számítottunk!”

Megengedtem magamnak egy felkiáltójelet, Doug, [NEVETÉS], mert meglepődtem…

A podcast rendszeres hallgatói tudni fogják, hogy szeretett, ha régi, de egykori érintetlen iPhone 6 Plus-om kerékpárbalesetet szenvedett.

A kerékpár életben maradt; Visszanőttem az összes bőrt, amire szükségem volt [NEVETÉS]… de az iPhone képernyőm még mindig százezer millió milliárd billió darabból áll. (Az összes darab, ami az ujjamba kerül, azt hiszem, már megtette.)

Szóval arra jutottam… iOS 12, egy év telt el az utolsó frissítés óta, szóval nyilvánvalóan teljesen lekerült az Apple radarjáról.

Nem fog más biztonsági javítást kapni.

Arra gondoltam: „Nos, a képernyőt nem lehet újra összetörni, szóval kiváló segélyhívó telefon, ha úton vagyok”… ha megyek valahova, ha hívnom kell, vagy meg kell néznem a térkép. (Nem fogok e-mailt vagy bármilyen munkával kapcsolatos dolgot intézni rajta.)

És lám, frissítést kapott, Doug!

Hirtelen, majdnem egy évvel az előző után… Azt hiszem, 23. szeptember 2021. Utolsó frissítés Nekem volt.

Hirtelen az Apple kiadta ezt a frissítést.

Ez vonatkozik a korábbi javítások amelyről beszéltünk, hol végezték el a sürgősségi frissítést a kortárs iPhone-okhoz és iPadekhez, valamint a macOS összes verziójához.

Ott egy WebKit- és egy kernelhibát javítottak: mindkettő nulla nap; mindkettőt vadon használják.

(Neked ez a spyware szaga van? Nekem igen!)

A WebKit hiba azt jelenti, hogy felkereshet egy webhelyet vagy megnyithat egy dokumentumot, és az átveszi az alkalmazást.

Ezután a kernelhiba azt jelenti, hogy a kötőtűt közvetlenül az operációs rendszerbe helyezi, és alapvetően lyukat üt az Apple híres biztonsági rendszerén.

De nem volt frissítés az iOS 12-hez, és ahogy múltkor mondtuk, ki tudta, hogy ez azért volt-e, mert az iOS 12 véletlenül sebezhetetlen volt, vagy az Apple tényleg nem fog tenni ellene, mert leesett. a bolygó peremén egy évvel ezelőtt?

Nos, úgy tűnik, nem esett le egészen a bolygó széléről, vagy a szélén billeg… és *sebezhető volt.

Jó hír… az iOS 12-re nem vonatkozik a kernelhiba, amiről legutóbb beszéltünk, ami miatt valaki lényegében átveheti az egész iPhone-t vagy iPadet.

De ez a WebKit hiba – amely emlékszik – hatással van *bármely* böngészőre, nem csak a Safarira, és minden olyan alkalmazásra, amely bármilyen webes megjelenítést végez, még akkor is, ha az csak a Rólunk képernyő…

…ez a hiba *volt* az iOS 12-ben, és az Apple nyilvánvalóan erősen érezte ezt.

Tehát itt van: ha van egy régebbi iPhone-ja, és még mindig az iOS 12 rendszeren van, mert nem tudja frissíteni iOS 15-re, akkor meg kell szereznie ezt.

Mert ez a WebKit hiba a múltkor beszéltünk – vadonban használták.

Az Apple duplán javítja a nulladik napot a böngészőben és a kernelben – frissítsen most!

És az a tény, hogy az Apple mindent megtett annak érdekében, hogy támogassa az operációs rendszer élettartama végét meghaladó verziót, azt sugallja, vagy legalábbis arra ösztönzi Önt, hogy következtessen, hogy kiderült, hogy ezt aljas módon használták mindenféle szemtelen cucc.

Szóval, talán csak néhány embert célozták meg… de még ha ez a helyzet is, ne hagyd, hogy te legyél a harmadik személy!

---

DOUG.  És hogy kölcsönkérjem az egyik rímmondatát:

Ne késlekedj/Tedd meg még ma.

[NEvet] Mit szólsz ehhez?

---

KACSA.  Doug, tudtam, hogy ezt fogod mondani.

---

DOUG.  felfogom!

És ahogy a nap lassan lenyugszik a mai műsorunkon, szeretnénk hallani egyik olvasónktól az Apple nulladik napjának történetét.

Bryan olvasó megjegyzései:

„Az Apple Beállítások ikonja mindig is egy kerékpáros lánckerékre emlékeztetett. Mint lelkes motoros, Apple-eszköz-felhasználó, azt várom, hogy tetszeni fog?”

Ez neked szól, Paul.

Tetszik?

Szerinted úgy néz ki, mint egy bicikli lánckerék?

---

KACSA.  Nem bánom, mert nagyon felismerhető, mondd, ha el akarok menni beállítások > általános > Szoftver frissítés.

(Tipp, tipp: így keresi a frissítéseket iOS rendszeren.)

Az ikon nagyon jellegzetes, és könnyen eltalálható, így tudom, hová megyek.

De nem, soha nem asszociáltam a kerékpározáshoz, mert ha ez egy fogaskerékpár első lánctányérja lenne, akkor minden rossz.

Nincsenek megfelelően csatlakoztatva.

Nincs mód hatalmat adni beléjük.

Két lánckerék van, de különböző méretű fogaik vannak.

Ha belegondolunk, hogyan működnek a fogaskerekek a jumpy-gear típusú kerékpárfogaskerekeken (úgynevezett váltókon), akkor csak egy láncunk van, és a láncnak meghatározott távolsága van, vagy ahogy nevezik, osztásköz.

Tehát az összes fogaskerék vagy lánckerék (technikailag nem fogaskerekek, mert a fogaskerekek a fogaskerekeket hajtják, a láncok pedig a lánckereket)… minden lánckeréknek azonos méretű vagy osztású fogakkal kell rendelkeznie, különben a lánc nem illeszkedik!

És ezek a fogak nagyon tüskések. Doug.

Valaki a megjegyzésekben azt mondta, hogy azt gondolta, hogy valami az óraművel kapcsolatos dologra emlékezteti őket, például egy menekülésre vagy valamiféle hajtóműre az órán belül.

De egészen biztos vagyok benne, hogy az órakészítők azt mondanák, hogy „nem, mi nem alakítanánk így a fogakat”, mert nagyon jellegzetes formákat használnak a megbízhatóság és a pontosság növelésére.

Szóval nagyon elégedett vagyok az Apple ikonnal, de nem, nem emlékeztet a kerékpározásra.

Az Android ikon, ironikus módon…

…és rád gondoltam, amikor erre gondoltam, Doug [NEVETÉS], és azt gondoltam: „Ó, bébi, soha nem fogom hallani ennek a végét. Ha megemlítem”…

..ez úgy néz ki, mint egy hátsó fogaskerék a kerékpáron (és tudom, hogy nem fogaskerék, hanem lánckerék, mert a fogaskerekek hajtják a fogaskerekeket, és a láncok hajtják a lánckereket, de valamiért fogaskerekeknek hívják őket, amikor kicsik kerékpár hátulja).

De csak hat foga van.

A legkisebb hátsó kerékpárfogaskerék, amelyről említést találok, kilencfogú – ez nagyon pici, nagyon szűk ívű, és csak speciális felhasználásra.

A BMX-es srácok kedvelik őket, mert minél kisebb a fogaskerék, annál kisebb az esélye, hogy földet érjen, amikor trükközik.

Szóval… ennek nagyon kevés köze van a kiberbiztonsághoz, de lenyűgöző betekintést nyújt abba, amit manapság szerintem nem „felhasználói felületként”, hanem „felhasználói élményként” ismernek.

---

DOUG.  Rendben, nagyon köszönöm, Bryan, hogy megjegyzést tett.

Ha van egy érdekes története, megjegyzése vagy kérdése, amelyet fel szeretne tenni, azt szívesen olvassuk a podcastban.

Írhat e-mailt a tips@sophos.com címre, kommentálhatja bármelyik cikkünket, vagy megkereshet minket a közösségi oldalon: @Naked Security.

Ez a mai műsorunk – nagyon köszönjük, hogy meghallgatott.

Paul Ducklin számára Doug Aamoth vagyok, és emlékeztetem Önt a következő alkalomig, hogy…

---

MINDKÉT.  Maradjon biztonságban!

[ZENEI MODEM]