Datasikkerhet
Var det slik hackerne stjal nakenbildene?
Kan ha brukt programvare ment for politietterforskere.
Etter at nakenbilder av en rekke kjendiskvinner ble lekket på nett søndag, har det stormet rundt Apples skylagringstjeneste iCloud. Det later til at de fleste bildene er knipset med iPhone - og hentet ned fra kjendisenes icloudkontoer.
Spørsmålet har vært hvorvidt selve iCloud er hacket eller om det er enkelte kontoer datatyvene har fått tilgang til.
Tirsdag kveld norsk tid publiserte Apple en pressemelding hvor de avkrefter at selve tjenesten er hacket.
- Etter mer enn 40 timer med undersøkelser, har vi funnet ut at kontoer til enkelte kjendiser har blitt kompromittert gjennom et målrettet angrep mot brukernavn, passord og sikkerhetsspørsmål, skriver Apple.
LES MER: Apple: - iCloud er ikke hacket
Brukte etterforskningsprogram?
Apple går ikke nærmere inn på hvordan snokene har klart å få tak i informasjonen, noe som har fått Wired-journalist Andy Greenberg til å grave dypere i metodene hackere bruker for å skaffe seg tilgang til spesifikke kontoer.
Greenberg besøkte Anon-IB, et populært og anonymt forum hvor en del av nakenbildene først dukket opp. Her oppdaget han hackere som åpent diskuterte hvordan en kunne utnytte programvare designet for politietterforskere.
(Se uthevet utdrag fra en diskusjonstråd på Anon-IB)
Helt spesifikt gikk diskusjonen rundt programmet "ElcomSoft Phone Password Breaker" (EPPB), som ikke bare gir tilgang til det som er lagret på icloud.com, men en brukers komplette sikkerhetskopi av en telefon eller nettbrett.
Omgår totrinnsverifikasjon
Ekspert på datasikkerhet, Jonathan Zdziarski, forteller til Wired at noen av de lekkede bildene kan tyde på at EPPB er blitt brukt, muligens sammen med hackerverktøyet iBrute - som utnyttet en svakhet i "Finn iPhone" slik at datasnoker kunne prøve et ubegrenset antall påloggingskombinasjoner. Denne metoden kalles brute force.
Apple har imidlertid tettet sikkerhetshullet og programmereren bak iBrute har ikke funnet tegn på at programmet var en faktor i datainnbruddet.
Apple tilbyr såkalt totrinnsverifikasjon som gjør det vesentlig vanskeligere for snoker å få tilgang til en konto. Men nettsiden TechCrunch skriver at EPPB omgår totrinnssikkerheten da den ikke omfatter verken sikkerhetskopier eller "Min bildestrøm".
Hvem som helst kan kjøpe ElcomSoft-programme. Selv om prisen er 400 dollar, er det også gratis (og ulovlig) tilgjengelig fra torrent-nettsider.
Svakheten i lagringen av sikkerhetskopiene til våre i-dingser har vært kjent en stund. Administrerende direktør i ElcomSoft påpekte overfor arstechnica.com i mai 2013 at sikkerhetskopier i iCloud manglet totrinnsverifikasjon. Apple har så langt ikke kommentert denne svakheten.
Nakenbilder på avveie
De nå mye omtalte bildene ble lekket på nett søndag kveld norsk tid til forumet 4Chan, og har siden spredd seg til nær sagt alle betydelige forum verden over.
Listen med navn, som både bekrefter og avkrefter at bildene er ekte, inkluderer Jennifer Lawrence, Kaley Cuoco-Sweeting, Kate Upton, Kim Kardashian, Rihanna, Kirsten Dunst og Selena Gomez.
Denne saken ble første gang publisert 03/09 2014.