[filip96]

WIta,,

mam pytanie odnośnie bezpieczeństwa przesyłania danych do chmury iCloud. Spotkaliście się z informacjami by jakieś dane wyciekły?
Czy z jakimiś lukami w zabezpieczeniach?

[Najwyzszy]

Nic nie slyszelismy, nic nie wycieka. Do tego pewnie tak jak ja czy wiekszosc uzytkownikow koncowych jestes zwyklym kowalskim, ktory nie ma nic co moglo zainteresowacby kogokolwiek, wiec po co Twoje obawy? 

[imrik]

Nie było do tej pory żadnych doniesień na temat wycieku lub utraty poufności danych.

 

Jeśli chodzi o "większe" wydarzenia to był jedynie fappening - słabym ogniwem było używanie przez sporą część celebrytów tego samego hasła do iCloud jak do innych usług, które uległy utracie poufności par mail+hasło.

 

Można sprawdzić tutaj.

https://haveibeenpwned.com

 

Cała reszta to incydentalne przypadki i kierowane ataki.

Był jeden ciekawy przypadek gdy wsparcie Apple nadało dostęp osobie nieuprawnionej do konta pewnego dziennikarza / aktywisty społecznego co poskutkowało usunięciem jego danych i zablokowaniem urządzeń. "Haker" najpierw przejął twitter, facebook, gmail i parę innych + zrobił spoofing numeru telefonu i tym sposobem "wrobił" support Apple by wysłało link resetujący hasło na awaryjny adres pocztowy, gdzie dostęp już miał.

Są przypadki gdy dzięki fizycznemu dostępowi do telefonu / komputera udawało się przejmować dostępy do iCloud. W tamtym roku na jednym z paneli white hat hacker summit ciekawą prelekcję robili przedstawicielce CIA oraz Filipińskich służb na temat trwających jakieś 5 czy 8 lat starań zapuszkowania pewnego rosyjskiego biznesmena zamieszanego w szemrane interesy w Azji.

 

Wystarczy używać unikalne hasło do iCloud oraz do awaryjnych adresów pocztowych na które są wysyłane maile resetujące dostęp do konta iCloud i będzie OK? Jeśli ktoś się zaweźmie i ma odpowiedni budżet to i tak Cię dopadnie

Użytkownik imrik edytował ten post 12 kwietnia 2018 - 10:27

[Krzyssp2]

Nie było do tej pory żadnych doniesień na temat wycieku lub utraty poufności danych.

 

Jeśli chodzi o "większe" wydarzenia to był jedynie fappening - słabym ogniwem było używanie przez sporą część celebrytów tego samego hasła do iCloud jak do innych usług, które uległy utracie poufności par mail+hasło.

 

Można sprawdzić tutaj.

https://haveibeenpwned.com

 

Cała reszta to incydentalne przypadki i kierowane ataki.

Był jeden ciekawy przypadek gdy wsparcie Apple nadało dostęp osobie nieuprawnionej do konta pewnego dziennikarza / aktywisty społecznego co poskutkowało usunięciem jego danych i zablokowaniem urządzeń. "Haker" najpierw przejął twitter, facebook, gmail i parę innych + zrobił spoofing numeru telefonu i tym sposobem "wrobił" support Apple by wysłało link resetujący hasło na awaryjny adres pocztowy, gdzie dostęp już miał.

Są przypadki gdy dzięki fizycznemu dostępowi do telefonu / komputera udawało się przejmować dostępy do iCloud. W tamtym roku na jednym z paneli white hat hacker summit ciekawą prelekcję robili przedstawicielce CIA oraz Filipińskich służb na temat trwających jakieś 5 czy 8 lat starań zapuszkowania pewnego rosyjskiego biznesmena zamieszanego w szemrane interesy w Azji.

 

Wystarczy używać unikalne hasło do iCloud oraz do awaryjnych adresów pocztowych na które są wysyłane maile resetujące dostęp do konta iCloud i będzie OK? Jeśli ktoś się zaweźmie i ma odpowiedni budżet to i tak Cię dopadnie

 

A przypadkiem słabym ogniwem nie było to, że iCloud nie miało zabezpieczenia przed łamaniem hasła metodą "brute force"? 

[yasiu]

A przypadkiem słabym ogniwem nie było to, że iCloud nie miało zabezpieczenia przed łamaniem hasła metodą "brute force"? 

Nie, użyli danych z wycieku maill pass z innych portali.

[imrik]

Zabezpieczenie na brute force do iCloud było od bardzo dawna, rzekłbym "od zawsze" bo jeszcze za czasów mobile me było, może nawet i sięga czasów .Mac ale tutaj ręki nie dam sobie uciąć. 

 

Może pomyliło Ci się z brakiem zabezpieczeń na brute force w przypadku archiwów - tego nie ma i nigdy nie było, ale w takim wypadku warto zauważyć że wymagany jest fizyczny dostęp do komputera z kopią zapasową urządzenia (i co się z tym wiąże - autoryzacją dwustronną między urządzeniami) i/lub urządzenia a kiedy spełniony jest ten warunek to właściwie można uznać "że już po ptokach".

Użytkownik imrik edytował ten post 16 kwietnia 2018 - 09:30

[Krzyssp2]

Pamiętałem to z niebezpiecznika: https://niebezpieczn...m-joanny-krupy/

 

Na dole jest napisane:

 

Apple wygodnie omija fakt, że aby “odgadnąć” czyjeś hasło, trzeba wykonać kilka (dziesiąt, set, tysięcy) prób — i to powinno być wykryte przez systemy zabezpieczeń firmy, które najwyraźniej nie zdały egzaminu, albo jak sugerują niektórzy, w ogóle nie istniały.

 

Sam się na tym nie znam więc nie mówię że na pewno tak było, jak macie jakieś inne artykuły na ten temat to chętnie zerknę  

[imrik]

To jest jedna z przytaczanych w tamtym czasie hipotez na zasadzie "może dziura była a może i nie było żadnej" co z resztą jest poruszane w artykule niebezpiecznika.

Były robione audyty bezpieczeństwa i były badania przedstawiane na konferencjach i wyszło że wykorzystywane były już ujawnione w innych wyciekach pary login i hasło w połączeniu z tablicami teczowymi do rozwiązywania hashy hasel. Do tej pory krążą takie olbrzymie bazy. Z resztą ppdawalem link do jednej z nich w której można sprawdzić jakie serwisy "wyciekły" zadany login.

O icloud bym się nie martwił. Apple ma większy problem z apfs i nowym systemem gdzie przez niedopatrzenie zdążyło ik się zostawić domyślnie odblokowanego roota na maszynie. No i odwieczne "nie pilnowanie" aktualizacji firmware które często po prostu się nie powiodą a użytkownik o tym nie wie nic chyba że przegląda logi z instalacji.