S3 Ep99: TikTok "saldırısı" – bir veri ihlali var mıydı, yok muydu? [Ses + Metin]

Herhangi bir noktaya atlamak için aşağıdaki ses dalgalarına tıklayın ve sürükleyin. Ayrıca doğrudan dinle Soundcloud'da.

DOUG.  Sıfır günler, daha fazla sıfır gün, TikTok ve güvenlik topluluğu için üzücü bir gün.

Hepsi ve daha fazlası Naked Security podcast'inde.

[MÜZİKAL MODEM]

Naked Security podcast'ine hoş geldiniz millet.

Ben Doug Aamoth'um.

Her zamanki gibi yanımda Paul Ducklin var.

Paul, bugün nasılsın?

---

ÖRDEK.  Çok ama çok iyiyim, teşekkürler Douglas!

---

DOUG.  Pekala, gösteriye Teknoloji Geçmişi bölümümüzle başlayalım.

Size söylemekten memnuniyet duyuyorum: Bu hafta 09 Eylül 1947'de Harvard Üniversitesi'nin Mark II bilgisayarında gerçek bir güve bulundu.

Ve mühendislik hatalarını belirtmek için "hata" teriminin kullanılmasının yıllar öncesinden beri kullanıldığı düşünülse de, bu olayın artık her yerde bulunan "hata ayıklamaya" yol açtığına inanılıyor.

Neden?

Çünkü güve Mark II'den çıkarıldığında, mühendislik kayıt defterine bantlanmış ve "Gerçek bir hatanın bulunduğuna dair ilk vaka" olarak etiketlenmişti.

Bu hikayeyi seviyorum!

---

ÖRDEK.  Ben de!

Sanırım bu terimle ilgili gördüğüm ilk kanıt Thomas Edison'dan başkası değildi – sanırım “böcek” terimini kullanmıştı.

Ama tabii ki, 1947 olarak, dijital hesaplamanın çok ilk günleriydi ve henüz tüm bilgisayarlar valfler veya tüpler üzerinde çalışmıyordu, çünkü tüpler hala çok pahalıydı ve çok sıcaktı ve çok fazla elektrik gerektiriyordu.

Yani, bu bilgisayar, trigonometri ve benzeri şeyler yapabilmesine rağmen, aslında rölelere dayalıydı – saf elektronik anahtarlar değil, elektromekanik anahtarlar.

1940'ların sonlarında bile, röle tabanlı bilgisayarların hala bir şey olması oldukça şaşırtıcıydı… çok uzun bir süre olmayacak olsalar da.

---

DOUG.  Paul, dağınık şeyler ve böcekler konusunda diyelim.

İnsanları rahatsız eden dağınık bir şey, bu TikTok meselesinin sorusudur.

İhlaller var ve ihlaller var… bu gerçekten bir ihlal mi?

---

ÖRDEK.  Senin de dediğin gibi, Douglas, bu dağınık bir şey haline geldi…

Çünkü hafta sonu büyük bir hikayeydi, değil mi?

"TikTok ihlali - Gerçekten neydi?"

İlk bakışta, "Vay canına, 2 milyar veri kaydı, 1 milyar kullanıcı ele geçirildi, bilgisayar korsanları içeri girdi" gibi geliyor.

Şimdi, özellikle Troy Hunt dahil olmak üzere düzenli olarak veri ihlalleriyle uğraşan birkaç kişi. Ben Pwned Var mı, "çalınmış" olması gereken verilerin örnek anlık görüntülerini aldı ve aramaya gitti.

Ve fikir birliği, TikTok'un söylediklerini tam olarak destekliyor gibi görünüyor, yani bu veriler zaten herkese açık.

Yani görünen şey bir veri koleksiyonu, diyelim ki dev bir video listesi… sanırım TikTok muhtemelen sadece kendiniz indirmenizi istemez, çünkü platformdan geçmenizi isterlerdi, ve bağlantılarını kullanın ve reklamlarından para kazanabilmeleri için reklamlarını görün.

Ancak verilerin hiçbiri, listelerdeki hiçbir şey, etkilenen kullanıcılar için gizli veya özel görünmüyor.

Troy Hunt aramaya gittiğinde ve rastgele bir video seçtiğinde, örneğin, o video o kullanıcının adı altında herkese açık olarak görünecekti.

Ve "ihlalde" videoyla ilgili veriler de "Ah, bu arada, işte müşterinin TikTok Kimliği; işte onların şifre karması; işte ev adresleri; henüz yayınlamadıkları özel videoların listesi burada” vb.

---

DOUG.  Tamam, peki ben bir TikTok kullanıcısıysam burada uyarıcı bir hikaye var mı?

Bir şey yapmam gerekiyor mu?

Bu beni bir kullanıcı olarak nasıl etkiler?

---

ÖRDEK.  Olay bu. Doug – Sanırım bu konuda yazılmış birçok makale bir sonuca varmak için can atıyor.

Ne yapabilirsiniz?

Bu yüzden insanların sorduğu yakıcı soru şudur: "Şifremi değiştirmeli miyim? İki faktörlü kimlik doğrulamayı açmalı mıyım?”… duyduğunuz olağan şeyler.

Bu durumda, şifrenizi değiştirmenize özel bir ihtiyaç yokmuş gibi görünüyor.

Şifre karmalarının çalındığına ve şimdi zilyonlarca izinli bitcoin madencileri [GÜLER] veya bunun gibi bir şey tarafından kırılabileceğine dair hiçbir öneri yok.

Bunun bir sonucu olarak kullanıcı hesaplarını hedeflemenin daha kolay olabileceğine dair bir öneri yok.

Öte yandan, şifrenizi değiştirmek isterseniz… siz de yapabilirsiniz.

Bu günlerde genel öneri, şifrenizi rutin ve düzenli olarak ve sık sık *programa göre* değiştirmektir ("Her ihtimale karşı ayda bir şifrenizi değiştirin" gibi) kötü bir fikir çünkü [ROBOTİK SES] - sadece - alır - sizi – içine – bir – tekrarlayan – bir şeyleri gerçekten iyileştirmeyen bir alışkanlık.

İnsanların ne yaptığını bildiğimiz için, şifrenin sonuna -01, -02, 03 yazmaları yeterlidir.

Bu nedenle, şifrenizi değiştirmeniz gerektiğini düşünmüyorum, ancak bunu yapmaya karar verirseniz, aferin.

Benim kendi fikrim, bu durumda, iki faktörlü kimlik doğrulamanın açık olup olmaması hiçbir fark yaratmayacaktı.

Öte yandan, eğer bu sonunda sizi 2FA'nın hayatınızda bir yerde bir yeri olduğuna ikna eden bir olaysa…

…o zaman belki de Douglas, bu bir gümüş astardır!

---

DOUG.  Harika.

Bu yüzden buna dikkat edeceğiz.

Ancak normal kullanıcıların bu konuda yapabileceği pek bir şey yok gibi görünüyor…

---

ÖRDEK.  Bunun dışında öğrenebileceğimiz ya da en azından kendimize hatırlatabileceğimiz bir şey var.

---

DOUG.  Sanırım ne olacağını biliyorum. [GÜLER]

Kafiyeli mi?

---

ÖRDEK.  Olabilir, Douglas. [GÜLER]

Lanet olsun, ben çok şeffafım. [Gülüyor]

Farkında olun/Paylaşmadan önce.

Bir şey herkese açık olduğunda, *gerçekten herkese açıktır* ve bu kadar basit.

---

DOUG.  Tamam çok iyi.

Paylaşmadan önce farkında olun.

Güvenlik topluluğu, 43 yaşında vefat eden Peter Eckersley'de bir öncüyü kaybetti.

Let's Encrypt'in ortak yaratıcısıydı.

Bize biraz Let's Encrypt'ten bahsedin ve Eckersley'in mirası, eğer istersen.

---

ÖRDEK.  Ne yazık ki kısa hayatında bir sürü şey yaptı Doug.

Naked Security hakkında sık sık ölüm ilanları yazmayız, ancak bu, zorunda olduğumuzu hissettiklerimizden biri.

Çünkü, dediğin gibi, Peter Eckersley, yaptığı diğer şeylerin yanı sıra, onu ucuza (yani ücretsiz!) ama en önemlisi güvenilir ve güvenilir kılmak için yola çıkan Let's Encrypt'in kurucu ortaklarından biriydi. web siteniz için HTTPS sertifikaları almak kolaydır.

Naked Security ve Sophos News blog sitelerinde Let's Encrypt sertifikalarını kullandığımız için, bu iyi iş için ona en azından bir söz borçlu olduğumuzu hissettim.

Çünkü bir web sitesi işleten herkes, birkaç yıl geriye giderseniz, ziyaretçilerinizin web tarayıcılarına asma kilit koymanıza izin veren bir HTTPS sertifikası, bir TLS sertifikası almanın yalnızca paraya mal olmadığını, ev kullanıcılarının, hobilerin , hayır kurumları, küçük işletmeler, spor kulüpleri kolayca karşılayamazdı… bu *gerçek bir güçlük*tü.

Geçmek zorunda olduğunuz tüm bu prosedür vardı; çok jargon ve teknik şeylerle doluydu; ve her yıl tekrar yapmak zorundaydınız, çünkü belli ki süreleri doluyor… bu bir arabadaki güvenlik kontrolü gibi.

Alıştırmadan geçmeniz ve kontrolünde olduğunu iddia ettiğiniz etki alanını değiştirebilecek kişi olduğunuzu kanıtlamanız gerekir.

Ve Let's Encrypt bunu yalnızca ücretsiz olarak yapmakla kalmadı, aynı zamanda işlemin otomatik hale getirilmesini sağladı… ve üç ayda bir, bu da bir şeyler ters gittiğinde sertifikaların süresinin daha hızlı dolması anlamına geliyor.

Yeterince hızlı bir şekilde güven oluşturabildiler ki, büyük tarayıcılar kısa süre sonra, "Biliyor musunuz, Let's Encrypt'in diğer insanların web sertifikalarına kefil olacağına güveneceğiz - buna deniyor. kök CAveya sertifika yetkilisi.

Ardından, tarayıcınız varsayılan olarak Let's Encrypt'e güvenir.

Ve gerçekten, tüm bu şeylerin bir araya gelmesi, bana göre projenin görkemiydi.

Sadece ücretsiz değildi; sadece kolay değildi; sadece tarayıcı üreticilerinin (ilk etapta size güvenmeleri çok zor olduğu bilinen) "Evet, onlara güveniyoruz" kararı vermesi değildi.

Büyük bir fark yaratan ve HTTPS'nin internetin neredeyse her yerine ulaşmasına yardımcı olan, tüm bu şeylerin bir araya getirilmesiydi.

Yaptığımız göz atma işlemine biraz daha fazla güvenlik eklemenin bir yolu…

…insanlara sürekli hatırlattığımız gibi, şifreleme için çok fazla değil, ancak [A]'ya, onu manipüle etmesi gereken kişi tarafından manipüle edilen bir siteye gerçekten bağlı olduğunuz için savaşma şansınız olduğu gerçeği için, ve [B] içerik geri geldiğinde veya ona bir istek gönderdiğinizde, yol boyunca kolayca kurcalanamaz.

Let's Encrypt'e kadar, herhangi bir yalnızca HTTP web sitesinde, ağ yolundaki hemen hemen herkes, baktığınız şeyi gözetleyebilir.

Daha da kötüsü, onu değiştirebilirler - ne gönderdiğiniz veya ne geri aldığınızı - ve gerçek anlaşma yerine kötü amaçlı yazılım indirdiğinizi veya sahte haberler yerine sahte haberler okuduğunuzu * basitçe söyleyemezdiniz *. gerçek hikaye.

---

DOUG.  Pekala, bence harika bir şeyle bitirmek uygun okuyucularımızdan birinin yorumuBay Eckersley'i tanıyor gibi görünen Samantha.

O diyor ki:

“Pete ile olan etkileşimlerim hakkında her zaman hatırladığım bir şey varsa, o da bilime ve bilimsel yönteme olan bağlılığıydı. Soru sormak, bilim insanı olmanın özüdür. Pete'e ve sorularına her zaman değer vereceğim. Bana göre Pete, meraklı bireyler arasında iletişime ve özgür ve açık fikir alışverişine değer veren bir adamdı.”

İyi dedin Samantha – teşekkür ederim.

---

ÖRDEK.  Evet!

Ve RIP [Ret in Peace'in kısaltması] yerine CIP: Code in Peace diyeceğim sanırım.

---

DOUG.  Çok güzel!

Pekala, geçen hafta bir dizi Chrome yaması hakkında konuştuk ve sonra bir tane daha ortaya çıktı.

Ve bu bir önemli bir ...

---

ÖRDEK.  Gerçekten öyleydi, Doug.

Ve Chromium çekirdeğine uygulandığı için Microsoft Edge'e de uygulandı.

Yani, daha geçen hafta, bunlardan bahsediyorduk… neydi, 24 güvenlik açığı.

Biri kritikti, sekiz veya dokuzu yüksekti.

Orada her türlü bellek yanlış yönetim hatası var, ancak hiçbiri sıfır gün değildi.

Biz de bunun hakkında konuşuyorduk, "Bakın, bu sıfırıncı gün açısından küçük bir olay ama güvenlik yaması açısından büyük bir olay. İlerleyin: ertelemeyin, bugün yapın.”

(Üzgünüm - tekrar kafiye yaptım Doug.)

Bu sefer, hem Chrome hem de Edge için sadece birkaç gün sonra çıkan başka bir güncelleme.

Bu sefer, sabitlenmiş yalnızca bir güvenlik açığı var.

Bunun bir ayrıcalık artışı mı yoksa uzaktan kod yürütme mi olduğunu tam olarak bilmiyoruz, ancak kulağa ciddi geliyor ve zaten vahşi olduğu bilinen bir istismarla sıfır gün.

Sanırım harika haber şu ki, hem Google hem Microsoft hem de diğer tarayıcı üreticileri bu yamayı uygulayabildiler ve gerçekten çok hızlı bir şekilde çıkardılar.

Aylar ya da haftalardan bahsetmiyoruz… Bilinen bir sıfır gün için sadece birkaç günden bahsetmiyoruz ki, belli ki son güncelleme çıktıktan sonra bulundu, ki bu sadece geçen haftaydı.

Bu iyi haber.

Kötü haber, elbette, bu 0 günlük bir gün – dolandırıcılar işin başında; zaten kullanıyorlar.

Google, “nasıl ve neden” konusunda biraz çekingen davrandı… bu, arka planda devam eden ve tehlikeye atmak istemeyebilecekleri bir soruşturma olduğunu gösteriyor.

Yani, bir kez daha, bu bir “Erken yama yapın, sık yama yapın” durumudur – bunu öylece bırakamazsınız.

Geçen hafta yama yaptıysanız, tekrar yapmanız gerekir.

İyi haber şu ki Chrome, Edge ve bugünlerde tarayıcıların çoğu kendilerini güncellemeli.

Ancak, her zaman olduğu gibi, kontrol etmekte fayda var, çünkü ya otomatik güncellemeye güveniyorsanız ve sadece bu seferlik işe yaramadıysa?

Bu, gerçekten en son sürüme sahip olduğunuzu doğrulamak için harcadığınız 30 saniye değil mi?

İlgili tüm sürüm numaralarına ve bu tarayıcıların en son sürümüne kesinlikle sahip olduğunuzdan emin olmak için Chrome ve Edge için nereye tıklanacağına dair tavsiyelere sahibiz.

---

DOUG.  Ve skor tutan herkes için son dakika haberi…

Az önce Microsoft Edge sürümümü kontrol ettim ve bu doğru, güncel sürüm, bu yüzden kendini güncelledi.

Tamam, son olarak, ama kesinlikle en az değil, nadir ama acil Apple güncellemesi Hepimizin bittiğini ve tozunu aldığını düşündüğümüz iOS 12 için.

---

ÖRDEK.  Evet, Çıplak Güvenlik ile ilgili makalenin ilk beş kelimesinde yazdığım gibi, “Eh, bunu beklemiyorduk!”

Kendime bir ünlem işareti koydum, Doug, [Gülüşmeler] çünkü şaşırdım…

Podcast'i düzenli olarak dinleyenler, sevgilimin, eski ama eski bozulmamış iPhone 6 Plus'ın bir bisiklet kazası geçirdiğini bilecek.

Bisiklet kurtuldu; İhtiyacım olan tüm cildi büyüttüm [Gülüşmeler]… ama iPhone ekranım hala yüz bin milyon milyar trilyon parça halinde. (Parmağıma girecek olan tüm parçalar, sanırım çoktan yaptı.)

Ben de düşündüm ki… iOS 12, son güncellemeyi yaptığımdan bu yana bir yıl geçti, bu yüzden açıkçası Apple'ın radarından tamamen çıkmış durumda.

Başka herhangi bir güvenlik düzeltmesi almayacak.

"Ekran bir daha kırılamaz, bu yüzden yoldayken almak için harika bir acil durum telefonu" diye düşündüm... harita. (Üzerinde e-posta veya işle ilgili herhangi bir şey yapmayacağım.)

Ve işte, bir güncelleme aldı, Doug!

Aniden, bir öncekinin üzerinden neredeyse bir yıl geçti… Sanırım 23 Eylül 2021 son Güncelleme Sahiptim.

Aniden, Apple bu güncellemeyi yayınladı.

Şununla ilgilidir: önceki yamalar çağdaş iPhone'lar ve iPad'ler ve tüm macOS sürümleri için acil durum güncellemesini nerede yaptıklarını anlattık.

Orada, bir WebKit hatasını ve bir çekirdek hatasını yamalıyorlardı: ikisi de sıfır gün; ikisi de vahşi doğada kullanılıyor.

(Bu size casus yazılım kokusu mu geliyor? Bana da yaptı!)

WebKit hatası, bir web sitesini ziyaret edebileceğiniz veya bir belge açabileceğiniz anlamına gelir ve uygulamayı devralır.

Ardından, çekirdek hatası, örgü iğnenizi doğrudan işletim sistemine koymanız ve temelde Apple'ın övülen güvenlik sisteminde bir delik açmanız anlamına gelir.

Ancak iOS 12 için bir güncelleme yoktu ve geçen sefer söylediğimiz gibi, bunun iOS 12'nin yenilmez olmasından mı yoksa Apple'ın düştüğü için gerçekten bu konuda hiçbir şey yapmayacağından mı kaynaklandığını kim bilebilirdi? gezegenin kenarı bir yıl önce?

Pekala, görünüşe göre gezegenin kenarından tam olarak düşmemiş ya da uçurumun eşiğinde sendeliyor... ve *hassastı*.

İyi haber… Geçen sefer bahsettiğimiz çekirdek hatası, birinin iPhone veya iPad'in tamamını ele geçirmesine izin verecek şey, iOS 12 için geçerli değil.

Ancak, hatırlayan bu WebKit hatası, yalnızca Safari'yi değil, *herhangi bir* tarayıcıyı ve web ile ilgili her türlü işlemeyi yapan herhangi bir uygulamayı, yalnızca kendi sürümünde olsa bile etkiler. Hakkımızda ekran…

…bu hata iOS 12'de *vardı* ve açıkçası Apple bu konuda güçlü hissetti.

İşte buradasınız: Daha eski bir iPhone'unuz varsa ve hala iOS 12'deyse, çünkü onu iOS 15'e güncelleyemezsiniz, o zaman gidip bunu almanız gerekir.

Çünkü bu WebKit hatası Geçen sefer hakkında konuştuk – vahşi doğada kullanıldı.

Apple, tarayıcıda ve çekirdekte çift sıfır günü yamaları - şimdi güncelleyin!

Ve Apple'ın, ömrünün sonuna gelmiş bir işletim sistemi sürümünü desteklemek için bu kadar ileri gitmesi gerçeği, bunun kötü niyetli şekillerde kullanıldığının keşfedildiğini gösteriyor veya en azından sizi bu sonuca davet ediyor. her türlü yaramaz şey.

Yani, belki sadece birkaç kişi hedef alındı… ama durum buysa bile, üçüncü kişi olmana izin verme!

---

DOUG.  Ve kafiyeli cümlelerinizden birini ödünç almak için:

Ertelemeyin/Bugün yapın.

[GÜLER] Buna ne dersin?

---

ÖRDEK.  Doug, bunu söyleyeceğini biliyordum.

---

DOUG.  yakalıyorum!

Bugünkü programımızda güneş yavaş yavaş batmaya başlarken, okuyucularımızdan birinden Apple sıfır gün hikayesini dinlemek istiyoruz.

Okuyucu Bryan yorumları:

“Apple'ın Ayarlar simgesi aklımda her zaman bir bisiklet zincir dişlisine benziyordu. Hevesli bir motorcu, bir Apple cihazı kullanıcısı olarak bunu beğenmenizi beklerim?”

Bu sana yönelik, Paul.

Bunu beğendin mi?

Sizce bisiklet dişlisine benziyor mu?

---

ÖRDEK.  Umursamıyorum, çünkü çok tanınıyor, gitmek istersem söyle Ayarlar > genel > Yazılım güncellemesi.

(İpucu, ipucu: iOS'ta güncellemeleri bu şekilde kontrol edersiniz.)

Simge çok belirgin ve vurması kolay, bu yüzden nereye gittiğimi biliyorum.

Ama hayır, bunu asla bisikletle ilişkilendirmedim çünkü bunlar dişli bir bisikletin ön aynakol dişlileri olsaydı, hepsi yanlıştır.

Düzgün bağlanmamışlar.

Onlara güç vermenin bir yolu yok.

İki dişli vardır, ancak farklı boyutlarda dişleri vardır.

Sıçrayan dişli tipi bisiklet dişlilerinde (bilinen adıyla vites değiştiriciler) dişlilerin nasıl çalıştığını düşünürseniz, yalnızca bir zinciriniz vardır ve zincirin belirli aralıkları veya denildiği gibi eğimi vardır.

Yani tüm dişliler veya dişliler (teknik olarak, dişli değildirler, çünkü dişliler dişlileri ve zincirler dişlileri çalıştırır)… tüm dişlilerin dişleri aynı boyutta veya hatvede olmalıdır, aksi takdirde zincir sığmaz!

Ve bu dişler çok sivri. Doug.

Yorumlardaki biri, bunun kendilerine bir eşapman ya da saat içindeki bir çeşit dişli gibi saat işleyişiyle ilgili bir şeyi hatırlattığını düşündüklerini söyledi.

Ama saat yapımcılarının "Hayır, dişleri böyle şekillendirmezdik" diyeceklerinden oldukça eminim çünkü güvenilirliği ve hassasiyeti artırmak için çok farklı şekiller kullanıyorlar.

Bu Apple simgesinden oldukça memnunum, ama hayır, bana bisiklet sürmeyi hatırlatmıyor.

Android simgesi, ironik bir şekilde…

…ve bunu düşündüğümde seni düşündüm, Doug [Gülüşmeler] ve düşündüm ki, “Aman Tanrım, bunun sonunu asla duyamayacağım. Anlatırsam”…

..bisikletin arka dişlisine benziyor (ve bunun bir dişli olmadığını biliyorum, bu bir zincir dişlisi, çünkü çarklar çarkları ve zincirler çarkları çalıştırıyor, ama nedense, küçük olduklarında onlara çark diyorsunuz. bisikletin arkası).

Ama sadece altı dişi var.

Bahsedebildiğim en küçük arka bisiklet dişlisi dokuz diştir - bu çok küçük, çok sıkı bir eğri ve yalnızca özel kullanımlarda.

BMX adamları onları sever çünkü dişli ne kadar küçükse, numaralar yaparken yere çarpma olasılığı o kadar düşüktür.

Yani… bunun siber güvenlikle çok az ilgisi var, ancak bugünlerde “kullanıcı arayüzü” olarak değil, “kullanıcı deneyimi” olarak bilindiğine inandığım şeye dair büyüleyici bir içgörü.

---

DOUG.  Pekala, yorum yaptığın için çok teşekkür ederim Bryan.

İletmek istediğiniz ilginç bir hikayeniz, yorumunuz veya sorunuz varsa, podcast'te okumayı çok isteriz.

Tips@sophos.com adresine e-posta gönderebilir, makalelerimizden herhangi biri hakkında yorum yapabilir veya sosyal medyadan bize ulaşabilirsiniz: @Naked Security.

Bugünkü programımız bu – dinlediğiniz için çok teşekkürler.

Paul Ducklin için, ben Doug Aamoth, bir dahaki sefere kadar size hatırlatıyorum…

---

HER İKİSİ DE.  Güvende kalın!

[MÜZİKAL MODEM]