S3 Ep99: "serangan" TikTok – apakah ada pelanggaran data, atau tidak? [Audio + Teks]

Klik-dan-tarik gelombang suara di bawah untuk melompat ke titik mana pun. Anda juga bisa dengarkan langsung di Soundcloud.

ANJING.  Zero-days, more zero-days, TikTok, dan hari yang menyedihkan bagi komunitas keamanan.

Semua itu dan lebih banyak lagi, di podcast Naked Security.

[MODEM MUSIK]

Selamat datang di podcast Naked Security, semuanya.

Saya Doug Aamoth.

Dengan saya, seperti biasa, adalah Paul Ducklin.

Paulus, bagaimana kabarmu hari ini?

---

BEBEK.  Saya baik-baik saja, terima kasih, Douglas!

---

ANJING.  Baiklah, mari kita mulai acara dengan segmen Sejarah Teknologi kami.

Saya senang untuk memberitahu Anda: minggu ini pada tanggal 09 September 1947, ngengat kehidupan nyata ditemukan di dalam komputer Mark II Universitas Harvard.

Dan meskipun menggunakan istilah "bug" untuk menunjukkan gangguan teknik dianggap telah digunakan selama bertahun-tahun sebelumnya, diyakini bahwa insiden ini menyebabkan "debug" yang sekarang ada di mana-mana.

Mengapa?

Karena begitu ngengat dikeluarkan dari Mark II, ngengat itu ditempelkan di dalam buku catatan teknik dan diberi label "Kasus pertama bug yang sebenarnya ditemukan."

Saya suka cerita itu!

---

BEBEK.  Begitu juga aku!

Saya pikir bukti pertama yang saya lihat dari istilah itu tidak lain adalah Thomas Edison – saya pikir dia menggunakan istilah “bug”.

Tetapi tentu saja, karena tahun 1947, ini adalah hari-hari awal komputasi digital, dan belum semua komputer menggunakan katup atau tabung, karena tabung masih sangat mahal, dan bekerja sangat panas, dan membutuhkan banyak listrik.

Jadi, komputer ini, meskipun dapat melakukan trigonometri dan sebagainya, sebenarnya didasarkan pada relai – sakelar elektromekanis, bukan sakelar elektronik murni.

Cukup menakjubkan bahwa bahkan di akhir 1940-an, komputer berbasis relay masih menjadi sesuatu… meskipun mereka tidak akan menjadi sesuatu untuk waktu yang lama.

---

ANJING.  Nah, Paul, katakanlah pada topik hal-hal yang berantakan dan serangga.

Hal berantakan yang mengganggu orang adalah pertanyaan tentang hal TikTok ini.

Ada pelanggaran, dan ada pelanggaran ... apakah ini benar-benar pelanggaran?

---

BEBEK.  Seperti yang Anda katakan, Douglas, ini telah menjadi hal yang berantakan ...

Karena itu adalah cerita besar selama akhir pekan, bukan?

“Pelanggaran TikTok – Apa itu sebenarnya?”

Pada awalnya, kedengarannya seperti, "Wow, 2 miliar catatan data, 1 miliar pengguna dikompromikan, peretas telah masuk", dan yang lainnya.

Sekarang, beberapa orang yang menangani pelanggaran data secara teratur, terutama termasuk Troy Hunt of Apakah saya Sudah Pwned, telah mengambil cuplikan sampel dari data yang seharusnya telah "dicuri" dan mencarinya.

Dan konsensus tampaknya mendukung persis apa yang dikatakan TikTok, yaitu bahwa data ini tetap publik.

Jadi apa yang tampak seperti kumpulan data, katakanlah daftar video raksasa… yang saya kira TikTok mungkin tidak ingin Anda hanya dapat mengunduh sendiri, karena mereka ingin Anda melalui platform , dan gunakan tautan mereka, dan lihat iklan mereka sehingga mereka dapat memonetisasi barang-barang tersebut.

Tetapi tidak ada data, tidak ada barang dalam daftar yang tampaknya bersifat rahasia atau pribadi bagi pengguna yang terpengaruh.

Ketika Troy Hunt pergi mencari dan memilih beberapa video acak, misalnya, video itu akan muncul di bawah nama pengguna itu sebagai publik.

Dan data tentang video di "pelanggaran" tidak juga mengatakan, "Oh, dan omong-omong, ini ID TikTok pelanggan; inilah hash kata sandi mereka; inilah alamat rumah mereka; ini daftar video pribadi yang belum mereka publikasikan”, dan seterusnya.

---

ANJING.  Oke, jadi jika saya pengguna TikTok, apakah ada peringatan di sini?

Apakah saya perlu melakukan sesuatu?

Bagaimana hal ini memengaruhi saya sebagai pengguna?

---

BEBEK.  Itu saja. Doug – Saya kira banyak artikel yang ditulis tentang ini telah putus asa untuk menemukan semacam kesimpulan.

Apa yang dapat Anda lakukan?

Jadi, pertanyaan membara yang diajukan orang adalah, “Baiklah, haruskah saya mengubah kata sandi saya? Haruskah saya mengaktifkan otentikasi dua faktor?”… semua hal yang biasa Anda dengar.

Tampaknya, dalam hal ini, seolah-olah tidak ada kebutuhan khusus untuk mengubah kata sandi Anda.

Tidak ada saran bahwa hash kata sandi dicuri dan sekarang bisa dibobol oleh jutaan penambang bitcoin yang tidak bertugas [TERTAWA] atau semacamnya.

Tidak ada saran bahwa akun pengguna mungkin lebih mudah ditargetkan sebagai akibat dari ini.

Di sisi lain, jika Anda ingin mengubah kata sandi… Anda juga bisa.

Rekomendasi umum akhir-akhir ini adalah secara rutin dan teratur dan sering mengganti kata sandi Anda *sesuai jadwal* (seperti, “Sebulan sekali ubah kata sandi Anda untuk berjaga-jaga”) adalah ide yang buruk karena [SUARA ROBOTIK] itu – hanya – dapat – Anda – ke – a – berulang – kebiasaan yang tidak benar-benar memperbaiki keadaan.

Karena kita tahu apa yang orang lakukan, mereka hanya pergi: -01, -02, 03 di akhir kata sandi.

Jadi, saya tidak berpikir Anda harus mengubah kata sandi Anda, meskipun jika Anda memutuskan bahwa Anda akan melakukannya, bagus untuk Anda.

Pendapat saya sendiri adalah bahwa dalam kasus ini, apakah Anda mengaktifkan otentikasi dua faktor atau tidak, tidak ada bedanya sama sekali.

Di sisi lain, jika ini adalah insiden yang akhirnya meyakinkan Anda bahwa 2FA memiliki tempat dalam hidup Anda di suatu tempat…

...maka mungkin, Douglas, itu adalah hikmahnya!

---

ANJING.  Besar.

Jadi kami akan mengawasi itu.

Tapi sepertinya tidak banyak yang bisa dilakukan pengguna biasa tentang ini ...

---

BEBEK.  Kecuali mungkin ada satu hal yang bisa kita pelajari, atau setidaknya mengingatkan diri kita sendiri darinya.

---

ANJING.  Saya pikir saya tahu apa yang akan terjadi. [TERTAWA]

Apakah itu berima?

---

BEBEK.  Mungkin bisa, Douglas. [TERTAWA]

Sial, aku sangat transparan. [TERTAWA]

Sadar / Sebelum Anda berbagi.

Setelah sesuatu menjadi publik, itu *benar-benar publik*, dan sesederhana itu.

---

ANJING.  Oke bagus sekali.

Sadarlah sebelum Anda berbagi.

Bergerak ke kanan, komunitas keamanan kehilangan seorang perintis di Peter Eckersley, yang meninggal pada usia 43.

Dia adalah salah satu pencipta Let's Encrypt.

Jadi, ceritakan sedikit tentang Let's Encrypt dan Warisan Eckersley, jika kamu mau.

---

BEBEK.  Yah, dia melakukan banyak hal dalam hidupnya yang sayangnya singkat, Doug.

Kami tidak sering menulis berita kematian di Naked Security, tetapi ini adalah salah satu yang kami rasa harus kami lakukan.

Karena, seperti yang Anda katakan, Peter Eckersley, di antara semua hal lain yang dia lakukan, adalah salah satu pendiri Let's Encrypt, proyek yang bertujuan untuk membuatnya murah (yaitu gratis!), tetapi, yang paling penting, andal dan mudah untuk mendapatkan sertifikat HTTPS untuk situs web Anda.

Dan karena kami menggunakan sertifikat Let's Encrypt di situs blog Naked Security dan Sophos News, saya merasa kami berutang padanya setidaknya untuk pekerjaan bagus itu.

Karena siapa pun yang pernah menjalankan situs web akan tahu bahwa, jika Anda kembali ke beberapa tahun, mendapatkan sertifikat HTTPS, sertifikat TLS, yang memungkinkan Anda memasang gembok di browser web pengunjung Anda tidak hanya membutuhkan biaya, yang mana pengguna rumahan, penghobi , badan amal, usaha kecil, klub olahraga tidak dapat dengan mudah membelinya ... itu benar-benar merepotkan *.

Ada seluruh prosedur yang harus Anda lalui; itu sangat penuh dengan jargon dan hal-hal teknis; dan setiap tahun Anda harus melakukannya lagi, karena jelas mereka kedaluwarsa… itu seperti pemeriksaan keamanan pada mobil.

Anda harus melalui latihan, dan membuktikan bahwa Anda masih orang yang dapat mengubah domain yang Anda klaim sebagai kendalinya, dan seterusnya.

Dan Let's Encrypt tidak hanya dapat melakukannya secara gratis, mereka juga dapat membuatnya sehingga prosesnya dapat diotomatisasi… dan setiap tiga bulan, sehingga juga berarti sertifikat dapat kedaluwarsa lebih cepat jika terjadi kesalahan.

Mereka mampu membangun kepercayaan cukup cepat sehingga browser utama segera berkata, “Anda tahu, kami akan mempercayai Let's Encrypt untuk menjamin sertifikat web orang lain – apa yang disebut akar CA, atau otoritas sertifikat.

Kemudian, browser Anda mempercayai Let's Encrypt secara default.

Dan sungguh, itu semua hal yang datang bersama-sama yang bagi saya adalah keagungan proyek.

Bukan hanya karena gratis; bukan hanya itu mudah; bukan hanya pembuat browser (yang terkenal sulit dibujuk untuk mempercayai Anda sejak awal) memutuskan, “Ya, kami mempercayai mereka.”

Semua hal yang disatukan itulah yang membuat perbedaan besar, dan membantu mendapatkan HTTPS hampir di semua tempat di internet.

Ini hanya cara untuk menambahkan sedikit keamanan ekstra ke penjelajahan yang kami lakukan…

…tidak begitu banyak untuk enkripsi, karena kami terus mengingatkan orang-orang, tetapi untuk fakta bahwa [A] Anda memiliki kesempatan berjuang bahwa Anda benar-benar telah terhubung ke situs yang sedang dimanipulasi oleh orang yang seharusnya memanipulasinya, dan bahwa [B] ketika konten kembali, atau ketika Anda mengirim permintaan ke sana, itu tidak dapat dirusak dengan mudah di sepanjang jalan.

Hingga Let's Encrypt, dengan situs web khusus HTTP, hampir semua orang di jalur jaringan dapat memata-matai apa yang Anda lihat.

Lebih buruk lagi, mereka dapat memodifikasinya – baik apa yang Anda kirim, atau apa yang Anda dapatkan kembali – dan Anda *tidak tahu* bahwa Anda mengunduh malware alih-alih yang asli, atau bahwa Anda sedang membaca berita palsu alih-alih kisah nyata.

---

ANJING.  Baiklah, saya pikir itu pas untuk ditutup dengan yang bagus komentar dari salah satu pembaca kami, Samantha, yang sepertinya mengenal Tuan Eckersley.

Dia mengatakan:

“Jika ada satu hal yang selalu saya ingat tentang interaksi saya dengan Pete, itu adalah dedikasinya pada sains dan metode ilmiah. Mengajukan pertanyaan adalah inti dari menjadi seorang ilmuwan. Saya akan selalu menghargai Pete dan pertanyaannya. Bagi saya, Pete adalah orang yang menghargai komunikasi dan pertukaran ide yang bebas dan terbuka di antara individu-individu yang ingin tahu.”

Bagus sekali, Samantha – terima kasih.

---

BEBEK.  Iya nih!

Dan daripada mengatakan RIP [singkatan untuk Rest In Peace], saya pikir saya akan mengatakan CIP: Code in Peace.

---

ANJING.  Sangat baik!

Baiklah, kami berbicara minggu lalu tentang banyak tambalan Chrome, dan kemudian satu lagi muncul.

Dan yang ini adalah penting satu…

---

BEBEK.  Memang benar, Doug.

Dan karena itu diterapkan pada inti Chromium, itu juga diterapkan pada Microsoft Edge.

Jadi, minggu lalu, kami berbicara tentang itu ... apa itu, 24 lubang keamanan.

Satu kritis, delapan atau sembilan tinggi.

Ada segala macam bug salah urus memori di sana, tetapi tidak satupun dari mereka adalah zero-days.

Jadi kami berbicara tentang itu, dengan mengatakan, “Lihat, ini masalah kecil dari sudut pandang zero-day, tapi ini masalah besar dari sudut pandang patch keamanan. Maju: jangan tunda, lakukan hari ini.”

(Maaf – saya berirama lagi, Doug.)

Kali ini, ini adalah pembaruan lain yang keluar hanya beberapa hari kemudian, baik untuk Chrome maupun untuk Edge.

Kali ini, hanya ada satu lubang keamanan yang diperbaiki.

Kami tidak begitu tahu apakah itu peningkatan hak istimewa atau eksekusi kode jarak jauh, tetapi kedengarannya serius, dan ini adalah zero-day dengan eksploitasi yang diketahui sudah ada di alam liar.

Saya kira kabar baiknya adalah bahwa baik Google dan Microsoft, dan pembuat browser lainnya, dapat menerapkan tambalan ini dan mengeluarkannya dengan sangat, sangat cepat.

Kami tidak berbicara tentang bulan atau minggu ... hanya beberapa hari untuk zero-day yang diketahui yang jelas ditemukan setelah pembaruan terakhir keluar, yang hanya minggu lalu.

Jadi itu kabar baiknya.

Berita buruknya adalah, tentu saja, ini adalah 0-hari – para penjahat ada di dalamnya; mereka sudah menggunakannya.

Google telah sedikit malu-malu tentang "bagaimana dan mengapa" ... yang menunjukkan bahwa ada beberapa penyelidikan yang terjadi di latar belakang bahwa mereka mungkin tidak ingin membahayakan.

Jadi, sekali lagi, ini adalah situasi "Tambal lebih awal, sering tambal" – Anda tidak bisa meninggalkan yang ini begitu saja.

Jika Anda menambal minggu lalu, maka Anda perlu melakukannya lagi.

Kabar baiknya adalah Chrome, Edge, dan sebagian besar browser saat ini harus memperbarui sendiri.

Tetapi, seperti biasa, perlu diperiksa, karena bagaimana jika Anda mengandalkan pembaruan otomatis dan, sekali ini saja, tidak berhasil?

Bukankah itu 30 detik dari waktu Anda yang dihabiskan dengan baik untuk memverifikasi bahwa Anda memang memiliki versi terbaru?

Kami memiliki semua nomor versi yang relevan dan saran [tentang Keamanan Telanjang] di mana harus mengklik Chrome dan Edge untuk memastikan bahwa Anda benar-benar memiliki versi terbaru dari browser tersebut.

---

ANJING.  Dan berita terbaru untuk siapa saja yang mencatat skor…

Saya baru saja memeriksa versi Microsoft Edge saya, dan itu adalah versi yang benar dan terbaru, jadi itu memperbarui sendiri.

OK, terakhir, tapi tentu tidak kalah pentingnya, kami memiliki yang langka tapi pembaruan Apple yang mendesak untuk iOS 12, yang kita semua pikir sudah selesai dan dibersihkan.

---

BEBEK.  Ya, seperti yang saya tulis di lima kata pertama artikel tentang Keamanan Telanjang, “Yah, kami tidak mengharapkan ini!”

Saya membiarkan diri saya tanda seru, Doug, [TERTAWA] karena saya terkejut…

Pendengar reguler podcast akan tahu bahwa kekasihku, jika iPhone 6 Plus lama tapi sebelumnya murni mengalami kecelakaan sepeda.

Sepeda itu selamat; Saya menumbuhkan kembali semua kulit yang saya butuhkan [TERTAWA]… tetapi layar iPhone saya masih berjumlah seratus ribu juta miliar triliun keping. (Semua bit yang akan keluar ke jari saya, saya pikir sudah melakukannya.)

Jadi saya pikir…iOS 12, sudah setahun sejak saya melakukan pembaruan terakhir, jadi jelas itu benar-benar di luar radar Apple.

Itu tidak akan mendapatkan perbaikan keamanan lainnya.

Saya pikir, “Yah, layarnya tidak bisa pecah lagi, jadi ini adalah telepon darurat yang bagus untuk dibawa ketika saya di jalan”… jika saya pergi ke suatu tempat, jika saya perlu menelepon atau melihat peta. (Saya tidak akan melakukan email atau hal-hal terkait pekerjaan apa pun di dalamnya.)

Dan, lihatlah, itu mendapat pembaruan, Doug!

Tiba-tiba, hampir setahun setelah yang sebelumnya… Saya pikir 23 September 2021 adalah pembaharuan Terakhir aku punya.

Tiba-tiba, Apple telah mengeluarkan pembaruan ini.

Ini berkaitan dengan patch sebelumnya yang kami bicarakan, di mana mereka melakukan pembaruan darurat untuk iPhone dan iPad kontemporer, dan semua versi macOS.

Di sana, mereka menambal bug WebKit dan bug kernel: keduanya zero days; keduanya digunakan di alam liar.

(Apakah bau spyware itu bagi Anda? Itu bagi saya!)

Bug WebKit berarti Anda dapat mengunjungi situs web atau membuka dokumen, dan itu akan mengambil alih aplikasi.

Kemudian, bug kernel berarti Anda memasukkan jarum rajut Anda langsung ke sistem operasi, dan pada dasarnya melubangi sistem keamanan Apple yang dibanggakan.

Tetapi tidak ada pembaruan untuk iOS 12, dan, seperti yang kami katakan terakhir kali, siapa yang tahu apakah itu karena iOS 12 kebetulan kebal, atau bahwa Apple benar-benar tidak akan melakukan apa-apa karena jatuh. tepi planet setahun yang lalu?

Yah, sepertinya itu tidak cukup jatuh dari tepi planet ini, atau sudah terhuyung-huyung di ambang ... dan itu * rentan.

Kabar baik… bug kernel yang kami bicarakan terakhir kali, hal yang membuat seseorang pada dasarnya mengambil alih seluruh iPhone atau iPad, tidak berlaku untuk iOS 12.

Tetapi bug WebKit itu – yang perlu diingat, memengaruhi browser *semua*, bukan hanya Safari, dan aplikasi apa pun yang melakukan segala jenis rendering terkait web, meskipun hanya dalam Tentang Kami layar…

…bug itu * memang * ada di iOS 12, dan jelas Apple sangat merasakannya.

Jadi, ini dia: jika Anda memiliki iPhone yang lebih lama, dan masih menggunakan iOS 12 karena Anda tidak dapat memperbaruinya ke iOS 15, maka Anda harus pergi dan mendapatkan ini.

Karena ini adalah Bug WebKit kami berbicara tentang terakhir kali - telah digunakan di alam liar.

Patch Apple menggandakan zero-day di browser dan kernel – perbarui sekarang!

Dan fakta bahwa Apple telah berusaha keras untuk mendukung apa yang tampaknya merupakan versi sistem operasi di luar masa pakainya menunjukkan, atau setidaknya mengundang Anda untuk menyimpulkan, bahwa ini telah ditemukan telah digunakan dengan cara yang jahat untuk segala macam hal nakal.

Jadi, mungkin hanya beberapa orang yang menjadi sasaran… tapi meski begitu, jangan biarkan diri Anda menjadi orang ketiga!

---

ANJING.  Dan untuk meminjam salah satu frasa berima Anda:

Jangan tunda/Lakukan hari ini.

[TERTAWA] Bagaimana dengan itu?

---

BEBEK.  Doug, aku tahu kau akan mengatakan itu.

---

ANJING.  Aku menangkap!

Dan saat matahari mulai perlahan terbenam di acara kami hari ini, kami ingin mendengar dari salah satu pembaca kami tentang kisah zero-day Apple.

Komentar pembaca Bryan:

“Ikon Pengaturan Apple selalu menyerupai sproket sepeda di pikiran saya. Sebagai pengendara motor yang rajin, pengguna perangkat Apple, saya berharap Anda seperti itu?”

Itu ditujukan padamu, Paul.

Apakah Anda suka itu?

Apakah Anda pikir itu terlihat seperti sproket sepeda?

---

BEBEK.  Saya tidak keberatan, karena sangat mudah dikenali, katakan jika saya ingin pergi ke Settings > Umum > Pembaruan perangkat lunak.

(Petunjuk, petunjuk: begitulah cara Anda memeriksa pembaruan di iOS.)

Ikonnya sangat khas, dan mudah dipukul sehingga saya tahu ke mana saya akan pergi.

Tapi, tidak, saya tidak pernah mengaitkannya dengan bersepeda karena jika itu adalah cincin rantai depan pada sepeda roda gigi, semuanya salah.

Mereka tidak terhubung dengan benar.

Tidak ada cara untuk memasukkan kekuatan ke dalam mereka.

Ada dua sprocket, tetapi mereka memiliki gigi dengan ukuran berbeda.

Jika Anda berpikir tentang cara kerja roda gigi pada roda gigi sepeda tipe roda gigi gelisah (derailleurs, demikian sebutannya), Anda hanya memiliki satu rantai, dan rantai tersebut memiliki jarak tertentu, atau nada seperti namanya.

Jadi semua roda gigi atau sprocket (secara teknis, mereka bukan roda gigi, karena roda penggerak roda gigi, dan rantai penggerak roda gigi)… semua roda gigi harus memiliki gigi dengan ukuran atau nada yang sama, jika tidak rantai tidak akan muat!

Dan gigi itu sangat runcing. Doug.

Seseorang di komentar mengatakan mereka pikir itu mengingatkan mereka pada sesuatu yang berkaitan dengan jarum jam, seperti pelarian atau semacam perlengkapan di dalam jam.

Tapi saya cukup yakin bahwa pembuat jam akan berkata, "Tidak, kami tidak akan membentuk gigi seperti itu," karena mereka menggunakan bentuk yang sangat khas untuk meningkatkan keandalan dan presisi.

Jadi saya cukup senang dengan ikon Apple itu, Tapi, tidak, itu tidak mengingatkan saya pada bersepeda.

Ikon Android, ironisnya…

…dan saya memikirkan Anda ketika saya memikirkan ini, Doug [TERTAWA], dan saya berpikir, “Oh, astaga, saya tidak akan pernah mendengar akhir dari ini. Jika saya menyebutkannya”…

..itu memang terlihat seperti roda gigi belakang pada sepeda (dan saya tahu itu bukan roda gigi, ini adalah roda gigi, karena roda penggerak roda gigi, dan rantai penggerak roda gigi, tetapi untuk beberapa alasan Anda menyebutnya roda roda gigi ketika mereka kecil di belakang sepeda).

Tapi hanya memiliki enam gigi.

Roda belakang sepeda terkecil yang dapat saya temukan menyebutkan adalah sembilan gigi – itu sangat kecil, kurva yang sangat ketat, dan hanya dalam penggunaan khusus.

Orang-orang BMX menyukainya karena semakin kecil roda giginya, semakin kecil kemungkinannya untuk menyentuh tanah saat Anda melakukan trik.

Jadi… itu tidak ada hubungannya dengan keamanan siber, tetapi ini adalah wawasan yang menarik tentang apa yang saya yakini saat ini dikenal bukan sebagai “antarmuka pengguna”, tetapi “pengalaman pengguna”.

---

ANJING.  Baiklah, terima kasih banyak, Bryan, untuk komentarnya.

Jika Anda memiliki cerita, komentar, atau pertanyaan menarik yang ingin Anda sampaikan, kami ingin membacanya di podcast.

Anda dapat mengirim email ke tips@sophos.com, Anda dapat mengomentari salah satu artikel kami, atau Anda dapat menghubungi kami di sosial: @Naked Security.

Itulah acara kami hari ini – terima kasih banyak telah mendengarkan.

Untuk Paul Ducklin, saya Doug Aamoth, mengingatkan Anda sampai waktu berikutnya untuk…

---

KEDUA.  Tetap aman!

[MODEM MUSIK]