S3 Odc99: TikTok „atak” – czy doszło do naruszenia danych, czy nie? [Dźwięk + tekst]

Kliknij i przeciągnij poniższe fale dźwiękowe, aby przejść do dowolnego punktu. Również możesz słuchaj bezpośrednio na Soundcloudzie.

DOUG.  Zero dni, więcej dni zerowych, TikTok i smutny dzień dla społeczności bezpieczeństwa.

Wszystko to i wiele więcej w podkaście Naked Security.

[MOM MUZYCZNY]

Witamy wszystkich w podkaście Naked Security.

Jestem Doug Aamoth.

Ze mną, jak zawsze, jest Paul Ducklin.

Paul, jak się masz dzisiaj?

---

KACZKA.  Bardzo, bardzo dobrze, dziękuję, Douglas!

---

DOUG.  Cóż, zacznijmy program od naszego segmentu historii technologii.

Miło mi powiedzieć: w tym tygodniu, 09 września 1947, w komputerze Mark II Uniwersytetu Harvarda znaleziono prawdziwą ćmę.

I chociaż uważa się, że termin „błąd” w odniesieniu do usterek inżynieryjnych był używany od wielu lat, uważa się, że ten incydent doprowadził do wszechobecnego obecnie „debugowania”.

Dlaczego?

Ponieważ gdy ćma została usunięta z Mark II, została przyklejona do dziennika inżynieryjnego i oznaczona jako „Pierwszy przypadek wykrycia rzeczywistego błędu”.

Uwielbiam tę historię!

---

KACZKA.  Ja też!

Myślę, że pierwszym dowodem na istnienie tego terminu był nikt inny jak Thomas Edison – myślę, że użył terminu „robale”.

Ale oczywiście w 1947 roku były to bardzo wczesne dni obliczeń cyfrowych i nie wszystkie komputery działały jeszcze na zaworach lub lampach, ponieważ lampy były nadal bardzo drogie, działały bardzo gorąco i wymagały dużej ilości energii elektrycznej.

Tak więc ten komputer, choć potrafił robić trygonometrię i tak dalej, tak naprawdę opierał się na przekaźnikach – przełącznikach elektromechanicznych, a nie czysto elektronicznych.

Całkiem zdumiewające, że nawet pod koniec lat 1940. komputery oparte na przekaźnikach nadal istniały… chociaż nie miały trwać długo.

---

DOUG.  Cóż, Paul, powiedzmy na temat bałaganu i błędów.

Brudną rzeczą, która denerwuje ludzi, jest kwestia tego TikTok.

Są wyłomy i są wyłomy… czy to rzeczywiście wyłom?

---

KACZKA.  Jak mówisz, Douglas, stało się to bałaganem…

Ponieważ w ten weekend była to wielka historia, prawda?

„Naruszenie TikTok – co to było naprawdę?”

Na pierwszy rzut oka brzmi to jak: „Wow, 2 miliardy rekordów danych, 1 miliard użytkowników skompromitowanych, hakerzy się włamali” i tak dalej.

Teraz kilka osób, które regularnie zajmują się naruszeniami danych, w tym Troy Hunt of Zostałem Pwned, wykonali przykładowe migawki danych, które miały zostać „skradzione” i poszli ich szukać.

A konsensus wydaje się potwierdzać dokładnie to, co powiedział TikTok, a mianowicie, że te dane i tak są publiczne.

Wygląda więc na to, że jest zbiorem danych, powiedzmy gigantyczną listą filmów… które, jak sądzę, TikTok prawdopodobnie nie chciałby, abyś mógł sam pobrać, ponieważ chcieliby, abyś przeszedł przez platformę, i korzystaj z ich linków i oglądaj ich reklamy, aby mogli zarabiać na rzeczach.

Ale żadne dane, żadna z rzeczy na listach nie wydaje się być poufna ani prywatna dla dotkniętych użytkowników.

Kiedy Troy Hunt poszedł szukać i wybrał jakiś losowy film, na przykład, ten film pojawiał się pod nazwą tego użytkownika jako publiczny.

A dane o filmie w „naruszeniu” również nie mówiły: „A tak przy okazji, oto identyfikator TikTok klienta; oto skrót ich hasła; oto ich adres domowy; oto lista prywatnych filmów, których jeszcze nie opublikowali” i tak dalej.

---

DOUG.  OK, więc jeśli jestem użytkownikiem TikTok, czy jest tutaj przestroga?

Czy muszę coś zrobić?

Jak to wpływa na mnie jako użytkownika?

---

KACZKA.  O to właśnie chodzi. Doug – myślę, że wiele artykułów napisanych na ten temat desperacko szukało jakiegoś wniosku.

Co można zrobić?

Tak więc palące pytanie, które ludzie zadają, brzmi: „Czy powinienem zmienić moje hasło? Czy powinienem włączyć uwierzytelnianie dwuskładnikowe?”… wszystkie zwykłe rzeczy, które słyszysz.

W tym przypadku wygląda na to, że nie ma szczególnej potrzeby zmiany hasła.

Nie ma żadnych sugestii, że skróty haseł zostały skradzione i mogą zostać teraz złamane przez miliardy górników bitcoinów [ŚMIECH] lub coś w tym rodzaju.

Nie ma sugestii, że w wyniku tego łatwiej będzie kierować reklamy na konta użytkowników.

Z drugiej strony, jeśli masz ochotę zmienić hasło… równie dobrze możesz.

Ogólne zalecenie w dzisiejszych czasach to rutynowa, regularna i częsta zmiana hasła *zgodnie z harmonogramem* (np. „Raz w miesiącu zmień hasło na wszelki wypadek”) to zły pomysł, ponieważ [GŁOS ROBOTYCZNY] to – po prostu – dostaje – ty – w – powtarzalny – nawyk, który tak naprawdę nie poprawia rzeczy.

Ponieważ wiemy, co ludzie robią, po prostu wpisują: -01, -02, 03 na końcu hasła.

Więc nie sądzę, że musisz zmieniać hasło, ale jeśli zdecydujesz, że to zrobisz, dobrze dla ciebie.

Moja własna opinia jest taka, że ​​w tym przypadku to, czy masz włączone uwierzytelnianie dwuskładnikowe, nie miałoby żadnego znaczenia.

Z drugiej strony, jeśli jest to incydent, który w końcu przekonuje Cię, że 2FA ma gdzieś miejsce w Twoim życiu…

…to może, Douglas, to jest srebrna podszewka!

---

DOUG.  Świetny.

Więc będziemy mieć na to oko.

Ale wygląda na to, że zwykli użytkownicy niewiele mogliby z tym zrobić…

---

KACZKA.  Tyle że jest może jedna rzecz, której możemy się nauczyć, a przynajmniej sobie z tego przypomnieć.

---

DOUG.  Myślę, że wiem, co nadchodzi. [ŚMIECH]

Czy to się rymuje?

---

KACZKA.  To może wystarczyć, Douglas. [ŚMIECH]

Cholera, jestem taka przejrzysta. [ŚMIAĆ SIĘ]

Bądź świadomy/Zanim udostępnisz.

Kiedy coś jest publiczne, to *naprawdę jest publiczne* i jest to takie proste.

---

DOUG.  Ok bardzo dobrze.

Bądź świadomy, zanim udostępnisz.

Idąc dalej, społeczność bezpieczeństwa straciła pioniera, Petera Eckersleya, który zmarł w wieku 43 lat.

Był współtwórcą Let's Encrypt.

Opowiedz nam więc trochę o Let's Encrypt i Dziedzictwo Eckersleya, jeśli chcesz.

---

KACZKA.  Cóż, zrobił mnóstwo rzeczy w swoim niestety krótkim życiu, Doug.

Nieczęsto piszemy nekrologi na Naked Security, ale jest to jeden z tych, o których czuliśmy, że musimy.

Ponieważ, jak mówisz, Peter Eckersley, między innymi, był jednym ze współzałożycieli Let's Encrypt, projektu, który miał na celu uczynienie go tanim (czyli darmowym!), ale przede wszystkim niezawodnym i łatwo uzyskać certyfikaty HTTPS dla swojej witryny.

A ponieważ używamy certyfikatów Let's Encrypt na stronach bloga Naked Security i Sophos News, czułem, że jesteśmy mu winni przynajmniej wyróżnienie za tę dobrą pracę.

Ponieważ każdy, kto kiedykolwiek prowadził stronę internetową, będzie wiedział, że jeśli cofniesz się o kilka lat, uzyskanie certyfikatu HTTPS, certyfikatu TLS, który pozwala umieścić kłódkę w przeglądarkach odwiedzających, nie tylko kosztuje, co użytkownicy domowi, hobbyści , organizacje charytatywne, małe firmy, kluby sportowe nie mogły sobie na to pozwolić… to było *prawdziwe kłopoty*.

Była cała ta procedura, przez którą musiałeś przejść; był pełen żargonu i technicznych rzeczy; i co roku trzeba było to robić ponownie, bo oczywiście tracą ważność… to jak kontrola bezpieczeństwa w samochodzie.

Musisz wykonać ćwiczenie i udowodnić, że nadal jesteś osobą, która może modyfikować domenę, nad którą twierdzisz, że kontrolujesz, i tak dalej.

A Let's Encrypt nie tylko było w stanie zrobić to za darmo, ale udało im się to zrobić, aby proces mógł być zautomatyzowany… i co kwartał, co oznacza, że ​​certyfikaty mogą wygasnąć szybciej, jeśli coś pójdzie nie tak.

Udało im się zbudować zaufanie na tyle szybko, że główne przeglądarki wkrótce mówiły: „Wiesz co, zamierzamy zaufać Let's Encrypt, aby ręczyć za certyfikaty internetowe innych osób – tak zwane główny CAlub urząd certyfikacji.

Wtedy Twoja przeglądarka domyślnie ufa Let's Encrypt.

I naprawdę, to wszystko łączy się razem, co było dla mnie majestatem projektu.

Nie chodziło tylko o to, że był darmowy; nie chodziło tylko o to, że było to łatwe; nie chodziło tylko o to, że twórcy przeglądarek (których notorycznie trudno jest przekonać do zaufania w pierwszej kolejności) zdecydowali: „Tak, ufamy im”.

To wszystko razem zrobiło dużą różnicę i pomogło uzyskać HTTPS prawie wszędzie w Internecie.

To tylko sposób na dodanie odrobiny dodatkowego bezpieczeństwa do przeglądania, które robimy…

…nie tyle o szyfrowanie, o czym ciągle przypominamy ludziom, ale o to, że [A] masz szansę walczyć, że naprawdę połączyłeś się ze stroną, która jest manipulowana przez osobę, która powinna nią manipulować, i że [B], gdy treść powróci lub gdy wyślesz do niej prośbę, nie będzie można jej łatwo manipulować po drodze.

Dopóki Let's Encrypt, z dowolną witryną tylko HTTP, prawie każdy na ścieżce sieciowej może szpiegować to, na co patrzysz.

Co gorsza, mogli je zmodyfikować – albo to, co wysyłałeś, albo to, co otrzymujesz – i *po prostu nie możesz* powiedzieć*, że pobierasz złośliwe oprogramowanie zamiast prawdziwej oferty lub że czytasz fałszywe wiadomości zamiast prawdziwa historia.

---

DOUG.  W porządku, myślę, że wypada zakończyć się świetnym komentarz jednego z naszych czytelników, Samantha, która wydaje się, że znała pana Eckersleya.

Ona mówi:

„Jeżeli jest jedna rzecz, którą zawsze pamiętam z moich interakcji z Pete'em, to było to jego oddanie nauce i metodzie naukowej. Zadawanie pytań to istota bycia naukowcem. Zawsze będę miłował Pete'a i jego pytania. Dla mnie Pete był człowiekiem, który cenił komunikację oraz swobodną i otwartą wymianę pomysłów między dociekliwymi jednostkami”.

Dobrze powiedziane, Samanto – dziękuję.

---

KACZKA.  Tak!

I zamiast mówić RIP [skrót od Rest In Peace], myślę, że powiem CIP: Code in Peace.

---

DOUG.  Bardzo dobrze!

W porządku, rozmawialiśmy w zeszłym tygodniu o wielu łatkach Chrome, a potem pojawiła się jeszcze jedna.

A ten był… ważny jeden ...

---

KACZKA.  Rzeczywiście, Doug.

A ponieważ dotyczył rdzenia Chromium, dotyczył również Microsoft Edge.

Więc tylko w zeszłym tygodniu rozmawialiśmy o tych… co to było, 24 dziurach w zabezpieczeniach.

Jeden był krytyczny, osiem lub dziewięć było wysokich.

Jest tam wiele błędów związanych z niewłaściwym zarządzaniem pamięcią, ale żaden z nich nie był zerowy.

A więc rozmawialiśmy o tym, mówiąc: „Słuchaj, to mała sprawa z punktu widzenia dnia zerowego, ale wielka sprawa z punktu widzenia poprawki bezpieczeństwa. Idź naprzód: nie zwlekaj, zrób to już dziś.”

(Przepraszam – znowu rymowałem, Doug.)

Tym razem jest to kolejna aktualizacja, która pojawiła się zaledwie kilka dni później, zarówno dla Chrome, jak i Edge.

Tym razem naprawiono tylko jedną lukę w zabezpieczeniach.

Nie do końca wiemy, czy jest to podniesienie uprawnień, czy zdalne wykonanie kodu, ale brzmi to poważnie i jest to dzień zerowy ze znanym exploitem już na wolności.

Myślę, że świetną wiadomością jest to, że zarówno Google, jak i Microsoft oraz inni twórcy przeglądarek byli w stanie zastosować tę łatkę i wydać ją naprawdę, bardzo szybko.

Nie mówimy o miesiącach czy tygodniach… tylko kilka dni dla znanego dnia zerowego, który oczywiście został znaleziony po wypuszczeniu ostatniej aktualizacji, co miało miejsce dopiero w zeszłym tygodniu.

To dobra wiadomość.

Złą wiadomością jest oczywiście to, że jest to dzień zerowy – oszuści są na nim; już go używają.

Google był trochę nieśmiały, jeśli chodzi o „jak i dlaczego”… to sugeruje, że w tle toczy się dochodzenie, którego mogą nie chcieć narażać.

Tak więc, po raz kolejny, jest to sytuacja „Wstawiaj wcześnie, łataj często” – nie możesz tak po prostu opuścić.

Jeśli załatałeś w zeszłym tygodniu, musisz to zrobić ponownie.

Dobrą wiadomością jest to, że Chrome, Edge i większość przeglądarek w dzisiejszych czasach powinny się aktualizować.

Ale jak zawsze warto sprawdzić, bo co jeśli polegasz na automatycznej aktualizacji i tylko ten jeden raz to nie zadziałało?

Czy nie byłoby to 30 sekund twojego czasu dobrze spędzonego na zweryfikowaniu, czy rzeczywiście masz najnowszą wersję?

Mamy wszystkie odpowiednie numery wersji i porady [na Naked Security], gdzie kliknąć Chrome i Edge, aby upewnić się, że masz absolutnie najnowszą wersję tych przeglądarek.

---

DOUG.  I najświeższe wiadomości dla każdego, kto prowadzi wynik…

Właśnie sprawdziłem moją wersję Microsoft Edge i jest to poprawna, aktualna wersja, więc zaktualizowała się sama.

OK, na koniec, ale na pewno nie mniej ważne, mamy rzadkie ale pilna aktualizacja Apple na iOS 12, o którym wszyscy myśleliśmy, że zostało zrobione i odkurzone.

---

KACZKA.  Tak, jak napisałem w pierwszych pięciu słowach artykułu o Naked Security: „Cóż, nie spodziewaliśmy się tego!”

Pozwoliłem sobie na wykrzyknik, Doug, [ŚMIECH], bo byłem zaskoczony…

Stali słuchacze podcastu będą wiedzieć, że mój ukochany, jeśli stary, ale dawniej nieskazitelny iPhone 6 Plus doznał kolizji rowerowej.

Rower ocalał; Odrosłem całą skórę, której potrzebowałem [ŚMIECH]… ale ekran mojego iPhone'a wciąż jest w stu miliardach miliardów bilionów kawałków. (Wszystkie kawałki, które wyjdą na mój palec, myślę, że już to zrobiły.)

Więc pomyślałem… iOS 12, minął rok od ostatniej aktualizacji, więc oczywiście jest to całkowicie poza zasięgiem radaru Apple.

Nie dostanie żadnych innych poprawek bezpieczeństwa.

Pomyślałem: „Cóż, ekran nie może się ponownie rozbić, więc jest to świetny telefon alarmowy, gdy jestem w drodze”… jeśli gdzieś się wybieram, jeśli muszę zadzwonić lub spojrzeć na mapa. (Nie zamierzam robić e-maili ani żadnych rzeczy związanych z pracą.)

I oto, doczekaliśmy się aktualizacji, Doug!

Nagle prawie rok do dnia po poprzednim… Myślę, że 23 września 2021 był tym Ostatnia aktualizacja Miałem.

Nagle Apple opublikował tę aktualizację.

Odnosi się do poprzednie łatki o którym mówiliśmy, gdzie zrobili awaryjną aktualizację dla współczesnych iPhone'ów i iPadów oraz wszystkich wersji macOS.

Tam łatali błąd WebKit i błąd jądra: oba zero dni; oba są używane na wolności.

(Czy ten zapach spyware dla ciebie? Zrobił to dla mnie!)

Błąd WebKit oznacza, że ​​możesz odwiedzić witrynę internetową lub otworzyć dokument, który przejmie aplikację.

Następnie błąd jądra oznacza, że ​​umieszczasz igłę bezpośrednio w systemie operacyjnym i zasadniczo robisz dziurę w osławionym systemie zabezpieczeń Apple.

Ale nie było aktualizacji dla iOS 12 i, jak powiedzieliśmy ostatnim razem, kto wiedział, czy to dlatego, że iOS 12 po prostu okazał się niewrażliwy, czy też Apple naprawdę nie zamierzał nic z tym zrobić, ponieważ spadł krawędź planety rok temu?

Cóż, wygląda na to, że nie całkiem spadł z krawędzi planety, albo balansował na krawędzi… i *był* podatny na ataki.

Dobra wiadomość… błąd jądra, o którym mówiliśmy ostatnio, rzecz, która pozwalałaby komuś w zasadzie przejąć całego iPhone’a lub iPada, nie dotyczy iOS 12.

Ale ten błąd WebKit – który pamiętam, wpływa na *każdą* przeglądarkę, nie tylko Safari, i każdą aplikację, która wykonuje dowolny rodzaj renderowania związanego z siecią, nawet jeśli jest to tylko w jej O nas ekran…

…ten błąd *istnieje* w iOS 12 i oczywiście Apple mocno się na to czuł.

Tak więc, oto jesteś: jeśli masz starszego iPhone'a i nadal jest on na iOS 12, ponieważ nie możesz go zaktualizować do iOS 15, musisz to zrobić.

Ponieważ to jest Błąd WebKit o którym mówiliśmy ostatnim razem – był używany na wolności.

Łaty Apple podwajają zero-day w przeglądarce i jądrze – aktualizuj teraz!

A fakt, że firma Apple dołożyła wszelkich starań, aby wesprzeć wersję, która wydawała się być nieaktualną wersją systemu operacyjnego, sugeruje, a przynajmniej zachęca do wywnioskowania, że ​​odkryto, że była ona wykorzystywana w nikczemny sposób do wszelkiego rodzaju niegrzeczne rzeczy.

Więc może tylko kilka osób zostało namierzonych… ale nawet jeśli tak jest, nie pozwól sobie być trzecią osobą!

---

DOUG.  I pożyczyć jedną z twoich rymowanych fraz:

Nie zwlekaj / Zrób to dzisiaj.

[ŚMIECH] A co powiesz na to?

---

KACZKA.  Doug, wiedziałem, że to powiesz.

---

DOUG.  Łapię!

A ponieważ słońce zaczyna powoli zachodzić w naszym programie na dziś, chcielibyśmy usłyszeć od jednego z naszych czytelników na temat historii dnia zerowego Apple.

Czytelnik Bryan komentarze:

„Ikona Apple Settings zawsze przypominała mi zębatkę rowerową. Jako zapalony motocyklista, użytkownik urządzeń Apple, spodziewam się, że ci się to spodoba?”

To jest skierowane do ciebie, Paul.

Podoba Ci się to?

Czy uważasz, że wygląda jak zębatka rowerowa?

---

KACZKA.  Nie przeszkadza mi to, bo jest bardzo rozpoznawalne, powiedzmy, czy chcę iść do Ustawienia > Ogólne > Aktualizacja oprogramowania.

(Podpowiedź, podpowiedź: w ten sposób sprawdzasz dostępność aktualizacji na iOS.)

Ikona jest bardzo charakterystyczna i łatwo ją trafić, więc wiem, dokąd zmierzam.

Ale nie, nigdy nie kojarzyłem tego z jazdą na rowerze, ponieważ gdyby to były przednie tarcze w rowerze z przekładnią, to po prostu wszystko jest w błędzie.

Nie są prawidłowo podłączone.

Nie ma sposobu, aby włożyć w nie moc.

Są dwie zębatki, ale mają zęby o różnych rozmiarach.

Jeśli myślisz o tym, jak działają koła zębate w przerzutkach rowerowych typu jumpy-gear (przerzutki, jak są one znane), masz tylko jeden łańcuch, a łańcuch ma określone odstępy lub podziałkę, jak to się nazywa.

Tak więc wszystkie tryby lub zębatki (technicznie rzecz biorąc, nie są to zębatki, ponieważ zębatki napędzają zębatki, a łańcuchy napędzają zębatki)… wszystkie zębatki muszą mieć zęby tego samego rozmiaru lub podziałki, w przeciwnym razie łańcuch nie będzie pasował!

A te zęby są bardzo kolczaste. Doug.

Ktoś w komentarzach powiedział, że myślał, że przypomina im to coś związanego z mechanizmem zegarowym, jak wychwyt lub jakiś mechanizm wewnątrz zegara.

Ale jestem prawie pewien, że zegarmistrzowie powiedzieliby: „Nie, nie kształtowalibyśmy zębów w ten sposób”, ponieważ używają bardzo charakterystycznych kształtów, aby zwiększyć niezawodność i precyzję.

Jestem więc całkiem zadowolony z tej ikony Apple, ale nie, nie przypomina mi to jazdy na rowerze.

Ikona Androida, jak na ironię…

…i pomyślałem o tobie, kiedy o tym pomyślałem, Doug [ŚMIECH], i pomyślałem: „O rany, nigdy nie usłyszę końca tego. Jeśli o tym wspomnę”…

...to wygląda jak tylna zębatka na rowerze (a wiem, że to nie jest zębatka, to zębatka, ponieważ zębatki napędzają zębatki, a łańcuchy napędzają zębatki, ale z jakiegoś powodu nazywa się je zębatkami, gdy są małe na tył roweru).

Ale ma tylko sześć zębów.

Najmniejsze tylne koło zębate, o którym mogę wspomnieć, to dziewięć zębów – to bardzo małe, bardzo ciasna krzywizna i tylko do specjalnych zastosowań.

Faceci BMX lubią je, ponieważ im mniejszy trybik, tym mniejsze prawdopodobieństwo, że uderzy się o ziemię, gdy robisz sztuczki.

Tak więc… ma to bardzo niewiele wspólnego z cyberbezpieczeństwem, ale jest to fascynujący wgląd w to, co moim zdaniem jest obecnie znane nie jako „interfejs użytkownika”, ale „wrażenia użytkownika”.

---

DOUG.  W porządku, bardzo dziękuję Bryan za komentarz.

Jeśli masz ciekawą historię, komentarz lub pytanie, które chciałbyś przesłać, chętnie przeczytamy o tym w podkaście.

Możesz wysłać e-maila na adres tips@sophos.com, skomentować dowolny z naszych artykułów lub skontaktować się z nami na portalu społecznościowym: @Naked Security.

To nasz występ na dzisiaj – bardzo dziękuję za wysłuchanie.

Dla Paula Ducklina jestem Doug Aamoth i przypominam do następnego razu…

---

OBIE.  Bądź bezpieczny!

[MOM MUZYCZNY]