|
Za Mata Honana, poznatog blogera i novinara časopisa Wired, 3. avgust je bio dan kao i svaki drugi – u popodnevnim časovima se igrao sa svojom jednogodišnjom ćerčicom kada se njegov iPhone resetovao. Dešava se, zar ne? Pokušao je da se uloguje na iCloud nalog kako bi se telefon oporavio pomoću backup‑a u oblaku, ali logovanje nije uspevalo. Otvorio je svoj MacBook Pro, koji je tražio unos nekakvog PIN koda od četiri cifre. Računar je pri tom intenzivno radio, kao da nešto piše po (SSD) disku. Uzevši u ruke iPad, primetio je da je i on potpuno mrtav. Šta se, zaboga, desilo?
Po ceni tri telefonska poziva
Preskočimo nevolje kroz koje je Mat prošao i opišimo šta je haker, čiji je pseudonim Phobia, zapravo uradio. Počeo je od Matove email i poštanske adrese, koje je saznao na osnovu njegovog domena emptyage.com  . Onda je pozvao telefonom Amazon.com i rekao nešto u stilu „Ja sam vaš korisnik Mat Honan, adresa mi je mhonan@gmail.com i želim da kupim neku knjigu, ali da platim kreditnom karticom koju ranije nisam koristio.“ Službenik je zatražio broj kartice (zapravo se radilo o generisanom broju sa korektnim čeksumom, iza koga ne stoji prava kartica tj. ne bi bilo moguće nikakvo plaćanje) i pridružio ga Honanovim podacima.
Haker je zatim ponovo pozvao Amazon.com i rekao da je on Mat Honan i da je zaboravio lozinku. Službenik ga je pitao za adresu, a zatim za broj kartice, a haker je dao broj lažne kartice koju je pre toga izdiktirao drugom službeniku. Time je Amazon‑ova bezbednosna procedura bila zaključena i službenik je omogućio hakeru da promeni „svoju“ (Matovu) lozinku. On se odmah ulogovao i ušao u sekciju ličnih podataka, pronašavši tamo broj prave Honanove kreditne kartice. Amazon, doduše, ne ispisuje kompletan broj kartice, ali ispisuje njegove zadnje četiri cifre. Pokazalo se da je i to dovoljno.
Phobia je zatim pozvao Apple, rekao da je on Mat Honan i da je zaboravio svoju AppleID lozinku. Službenik mu je postavio kontrolna pitanja koje vlasnik Apple naloga zadaje, a haker je rekao da se ne seća odgovora, ali da će dokazati identitet brojem kreditne kartice. „Iz sigurnosnih razloga“ je saopštio samo poslednje četiri cifre; više nije ni imao, ali više nije bilo ni potrebno. Službenik mu je dozvolio da promeni lozinku. I to je bila krađa digitalnog identiteta.
Twitter kao cilj
Pošto je Phobia preuzeo Matov AppleID i pristupio njegovom iCloud‑u, zatražio je resetovanje Gmail lozinke (za šta je Google samo poslao kontrolni email na iCloud adresu), a onda kroz Gmail resetovao i Twitter lozinku. Taj Twitter nalog je zapravo bio glavna meta napada – haker je poželeo pristup zgodnom troslovnom Twitter imenu (@mat) i armiji od oko 18.000 follower‑a. Zatim je počeo da tvituje u Matovo ime, šaljući razne homofobične i rasističke poruke.
Najveća šteta nastala je od toga što je Phobia želeo da što duže šalje svoje baljezgarije u Matovo ime, pa je preduzeo sve što je mogao da Mat što kasnije povrati pristup svom Twitter nalogu. U tom smislu je jednostavno ugasio Matov Gmail nalog, brišući pritom svu njegovu elektronsku poštu – bez rezervne email adrese koja je navedena pri kreiranju Twitter naloga teško je resetovati svoju Twitter lozinku. A to je još teže uraditi kada nemate ni računar ni telefon, pa se zato Phobia potrudio da uništi Honanovu opremu. Zahvaljujući Apple‑ovim „sigurnosnim“ opcijama, to nije bilo teško uraditi.
Find (and destroy) my Phone
Ako posedujete iPhone ili iPad, možda ste uočili ikonu nevinog naziva Find iPhone. Zvuči korisno – ako se ne sećate gde ste ostavili svoj telefon ili tablet, pokrenete taj program na vašem drugom uređaju i on će, na mapi grada, prilično precizno nacrtati gde se izgubljeni uređaj nalazi. Eto još jedne zgodne primene GPS čipa ugrađenog u pametne telefone.
A ako vaš telefon nije izgubljen nego ukraden? Find iPhone će vam pomoći da pronađete lopova i onemogućiti da on uživa u plodovima svog „rada“ – zadavanjem komande blokiraćete telefon i lopov neće moći da pristupa vašim podacima. A ako zaključite da je uređaj nepovratno izgubljen, možete daljinski obrisati kompletan njegov sadržaj – ostali ste, doduše, bez telefona, ali barem niste u nepoznate ruke izručili svoj imenik, email, dokumente i važne podatke.
Mana ove pažnje vredne ideje pokazala se u slučaju kada telefon i tablet uopšte nisu ukradeni, ali lozinka za pristup iCloud‑u jeste. Haker se „popeo u oblak“ pod Matovim imenom i naredio brisanje kompletnog sadržaja „svojih“ (zapravo Matovih) uređaja. Hardver je tako ostao na Honanovom stolu, ali su podaci sa njega otišli u nepovrat.
Najgore je to što Find iPhone funkcioniše i na Apple računarima, pod imenom Find my Mac – Phobia je zahtevao da se sadržaj hard‑diska Honanovog Mac-a obriše, a da se njegov računar zaključa tako da niko ne može da prekine proces bez lozinke zadate u trenutku brisanja (to je PIN pomenut na početku priče). MacBook Pro se poslušno samouništio.
Šta se spasti može...
Od autora očekujete da povremeno radi ono što preporučuje drugima, zar ne? E pa, Mat Honan to očekivanje nije ispunio – već godinu dana nije pravio backup. Nije imao kopiju dokumenata koje je pisao, svoje email poruke, čak ni fotografija napravljene od rođenja njegove ćerke pa do danas. Nije znao svoje lozinke na raznim sistemima, jer su te lozinke bile smeštene u 1Password fajlu, koji je bio upisan u Dropbox folder... a lozinka za pristup Dropbox‑u bila je u istom 1Password fajlu. Kompletan digitalni život bio je u oblaku, i kada se oblak probušio, nije ostalo ništa.
Mat je učinio samo jednu pametnu stvar – kada je MacBook Pro „podivljao“, iščupao je bateriju. Ništa bez hardverskih rešenja – veliko pitanje je šta bi uradio sa nekim od savremenih ultrabook modela do čije se baterije ne može spolja doći. Time je uništavanje sadržaja diska prekinuto – obrisana je možda četvrtina podataka, a u okviru toga i sistemske zone diska, pa su ostali samo sirovi podaci od kojih nije lako napraviti originalne fajlove.
Nije lako, ali nije ni nemoguće, barem za profesionalce. Honan je angažovao firmu DriveServers koja je za nekoliko dana uspešno povratila značajan deo fajlova. Većina fotografija i dokumenata je spasena, a račun za tu uslugu od 1.700 dolara pokazuje koliko košta (ne)pravljenje backup‑a. Što se lozinki tiče, ispostavilo se da je Mat povremeno pristupao Dropbox‑u i sa ženinog računara, pa je lozinka tamo bila sačuvana; tako je došao do svog 1Password repozitorijuma, a onda krenuo u proceduru oporavka Gmail i drugih naloga. Time što ste ugasili Gmail račun niste nepovratno obrisali poruke – one su i dalje zapamćene „tamo negde“, ali je procedura da dođete do njih duga i mučna. Na kraju je većina bitnih stvari spasena, a nešto se valjda i naučilo...
Socijalni inženjering
Mat se možda obrukao što nije pravio backup, ali je blamaža za Apple i Amazon mnogo veća. Njihove sigurnosne procedure su, pokazalo se, loše osmišljene i ne kontrolišu se dovoljno. Napad predstavlja primer socijalnog inženjeringa, o kome smo toliko čitali u knjigama Kevina Mitnika – nekoliko telefonskih poziva veštog obmanjivača može proizvesti razorne posledice.
Find iPhone / Mac sistem je veoma loš – uništenje sadržaja računara moguće je uz posedovanje jedne jedine lozinke, koju korisnik kuca gotovo svakodnevno. U najmanju ruku bi trebalo imati posebnu lozinku za Find iPhone pristup, a najgluplje od svega je što se Find my iPhone može samo uključiti ili isključiti; ako je uključen, onda vlasnik AppleID lozinke taj uređaj može i naći, i blokirati, i obrisati. Ne može se, recimo, odobriti daljinsko pronalaženje i blokiranje uređaja, a sprečiti njegovo samouništenje. Dok se to ne promeni, svakako isključite Find my Mac opciju.
Ako ste makar malo paranoični, pomislite i na sledeće: postoji, znači, neka komanda koju vaš iPhone, iPad ili Mac prima sa Interneta posle koje se on samouništava. Šta će biti kad (ili da budemo optimisti pa da kažemo „ako“) neko reverznim inženjeringom dođe do tog protokola, pa pošalje naokolo komande koje će navesti razne iOS uređaje da se samouništavaju? Smrtonosna kiša iz otrov(a)nog oblaka, kako reče jedan zabrinuti korisnik.
Lozinke i backup
Uvek je dobro učiti na tuđim, a ne na svojim greškama. Ako je Gmail vaš osnovni rezervoar elektronske pošte, učinite ga bezbednijim. Pre svega, definišite rezervnu email adresu preko koje se resetuje eventualno zaboravljeni password i neka to bude adresa kod nekog drugog provajdera, koju koristite samo za takve svrhe; nemojte skupljati email poslat na tu adresu sa svojih mobilnih uređaja i sa drugih mesta gde se komunikacija može prisluškivati. Uključite proces nazvan 2‑Step Verification na Gmail‑u – tada će za pristup elektronskoj pošti biti potreban kontrolni kod koji vam Google šalje SMS‑om (SMS je besplatan!) na telefon čiji ste broj zadali.
Vaše lozinke za Cloud servise koje ozbiljno koristite ne smeju da budu jednake (nemojte koristiti isti password za Gmail i za Facebook) i ne treba da budu trivijalne. Ako koristite neki servis za generisanje i čuvanje lozinki kao što je pomenuti 1Password, kopija te arhive mora postojati na lokalnom disku i na eksternoj memoriji, a lozinka za otvaranje te arhive mora biti nešto što ćete dobro upamtiti i zapisati na skrovitom mestu.
I naravno, backup... Cloud za cloud, ali važne stvari treba imati i u lokalu, sa sve kopijom. Čak i Gmail poruke treba kopirati na lokalni disk, bilo komandom iz Gmail interfejsa ili nezavisnim programima kao što je Gmail Backup. Nekada sam pravio dnevni backup na eksterni disk priključen u fioku – uključim fioku i napravim backup, a onda je isključim da ne zuji bez veze. Kada su se pojavile fioke sa eSATA interfejsom, backup je postao dovoljno brz da preterano ne opterećuje kraj radnog dana. Kasnije sam kupio kućni network storage i počeo da pravim backup na njega, ali se brzo pokazalo da je kopiranje velike TrueCrypt particije preko gigabitnog Ethernet‑a sporije, pa sam se vratio kopiranju na eksterni disk, uz povremenu dodatnu kopiju u kućnoj arhivi. Gledano kroz vizuru ovog događaja, pokazuje se da je backup na uređaj koji je standardno off‑line (isključen) vrlo zdrava praksa, čak i ne uzimajući u obzir brzinu. Ako bi neko preko Interneta hakovao moj računar pa sve obrisao, mogao bi da hakuje i server pa da sve obriše i sa njega. Dobro je imati backup na nečemu što nikako ne može da obriše, recimo zato što je isključeno.
Sa druge strane, backup koji fizički stoji pored računara je osetljiv na krađu – ako neko ukrade računar, ukrašće i opremu oko njega. Zato treba imati i kopiju podataka na nekom udaljenom mestu, možda i u cloud‑u – to možda neće biti dnevna kopija, ali ne treba čekati godinu dana za „udaljeni backup“. Sve veće brzine upload‑a koje nude Internet provajderi znače da možemo razmišljati o cloud servisima kao što je crashplan.com , ali ne ponavljajte Matovu grešku – backup u cloud‑u je dobar, ali ne sme da bude jedini!
|
