Hack

Tim Cook: iCloud gebruikers krijgen over twee weken push notificatie bij misbruik van hun account

In the Wall Street Journal staat een interview met Tim Cook waar hij in gaat op de beveiliging van iCloud. Cook laat weten dat Apple binnenkort notificaties gaat sturen naar iCloud gebruikers als er vreemde dingen met hun data gebeuren. Ook gaat hij iCloud gebruikers meer wijzen op het gebruik van de twee-staps-verificatie voor hun Apple ID.

Aanleiding is het “hack” incident waarbij via iCloud volledige iCloud backups van beroemdheden zijn gedownload. Tim Cook laat weten dat iCloud gebruikers over twee weken een push notificatie krijgen als iemand een  account wachtwoord wil wijzigen of (voor het eerst) iCloud data wil restoren of downloaden.

Hiermee zijn iCloud gebruikers meteen op de hoogte als er iets vreemds aan de hand is met hun Apple ID of iCloud account. Door de notificatie kunnen ze meteen hun wachtwoord wijzigen of Apple’s security team inschakelen.

icloud

Apple: celebrities kunnen hun naaktfoto’s gewoon veilig uploaden naar onze iCloud

Apple heeft via een persbericht een update gegeven over het onderzoek naar de gestolen naaktfoto’s van celebrities:

We wanted to provide an update to our investigation into the theft of photos of certain celebrities. When we learned of the theft, we were outraged and immediately mobilized Apple’s engineers to discover the source. Our customers’ privacy and security are of utmost importance to us. After more than 40 hours of investigation, we have discovered that certain celebrity accounts were compromised by a very targeted attack on user names, passwords and security questions, a practice that has become all too common on the Internet. None of the cases we have investigated has resulted from any breach in any of Apple’s systems including iCloud or Find my iPhone. We are continuing to work with law enforcement to help identify the criminals involved.

Gisteren lieten we al weten dat het vermoedelijk ging om brute-force aanvallen op Find My iPhone accounts maar dat ontkent Apple. De FBI is een onderzoek gestart en is op zoek naar de daders. Het lijkt er op dat de daders gewoon via simpele vragen via iCloud achter de Apple ID van de getroffen beroemdheden is gekomen. Dat gaat als volgt, Apple vraagt via een beveiligingsvraag om de naam van je favoriete huisdier. Als je in het geval van bijvoorbeeld Paris Hilton dan Tinkerbell invult en haar geboortedatum googlet kan het downloaden van haar foto’s daarna beginnen. Zo simpel is het.

Ondertussen is de schade aan de naam iCloud groot. De naam valt nu samen met gestolen foto’s van beroemdheden op de vooravond dat Apple een (NFC) betaalsysteem gaat introduceren via de iPhone 6. We zijn benieuwd hoe Apple het consumentenvertrouwen bij de massa weer gaat terugwinnen.

Tot slot is het verstandig om twee-staps-verificatie te gebruiken voor je Apple ID, ook als je niet beroemd bent. De twee-staps-verificatie is een extra functie voor de beveiliging voor je Apple ID om te voorkomen dat niemand toegang heeft tot je account zelfs als scriptkiddies of “hackers”  het wachtwoord weten. Hoe je de twee-staps-verificatie moet instellen kan je hier uitgebreid lezen op de Apple website.

icloud login

iCloud gehackt waarbij honderden privé foto’s van beroemdheden zijn gestolen

Beroemdheden die iCloud gebruiken als foto opslag van hun iPhone gaan een onzekere tijd tegemoet. Hackers zijn er mogelijk in geslaagd om iCloud accounts van o.a. Jennifer Lawrence, Ariana Grande, Kate Upton en nog veel meer beroemdheden te hacken. Een deel van de foto’s staan al online en naaktfoto’s of erger zijn te koop met Bitcoins via de Amerikaanse website 4chan.

De hackers gaan de komende 24 uur nog meer foto’s publiceren van celebrities zoals Kim Kardashian, Rihanna, en Mary Kate Olsen. De volledige lijst van beroemdheden die zijn gehacked staat hier. Ondertussen lijkt Jennifer Lawrence het meest getroffen want haar naakt foto’s zijn inmiddels op elke uithoek van het internet te vinden. Haar advocaat laat via email weten dat iedereen die de gestolen foto’s online zet gestraft zal worden:

“This is a flagrant violation of privacy. The authorities have been contacted and will prosecute anyone who posts the stolen photos of Jennifer Lawrence”

Daarmee is dat ook een bevestiging dat haar foto’s daadwerkelijk zijn gestolen. Maar er zijn ook woordvoerders van andere getroffen celebrities die de echtheid van de uitgelekte foto’s ontkennen.

Apple heeft nog geen reactie kunnen geven maar als iCloud daadwerkelijk is gehacked dan is dat een week voor de release van de iWatch en de iPhone 6 geen best nieuws voor Apple. Hier de bron van het nieuws met de laatste updates.

hack

iCloud door Nederlandse en Marokkaanse hackers gehackt

Nederlandse hackers met een Marokkaanse connectie hebben ontdekt hoe de iCloud beveiliging van een iPhone te kraken is. De beveiliging van een gestolen iPhone is door de hackers eenvoudig te omzeilen.

De hackers die werken onder de schuilnamen AquaXetine en Merruktechnolog hebben de afgelopen dagen al 30.000 gestolen iPhones via iCloud weten te ontgrendelen. Een gestolen en vergrendelde iPhone brengt 50 à 150 dollar op maar in ontgrendelde staat zijn ze soms wel $450 waard. Niet alleen iPhones zijn te ontgrendelen via de hack maar ook iPads.

Volgens Mark Loman, beveiligingsexpert van SurfRight maken de hackers gebruik van een man-in-the-middle-aanval door een nepcomputer te plaatsen tussen de gestolen iPhone en de systemen van Apple. Zo kunnen ze iCloud toestemming geven om een mobiel apparaat te ontgrendelen. De iPhone denkt als het ware dat er contact is met de iCloud server van Apple terwijl dit niet het geval is. Loman vreest dat de hackers nog tot veel meer in staat zijn, zoals het lezen van iMessage-berichten. Volgens Apple is dit onmogelijk.

De hackers hebben vijf maanden aan de hack gewerkt. Ze hebben gekeken hoe de beveiliging van Apple in elkaar steekt en de zwakke plekken ontdekt. Volgens AquaXetine is hun motief niet om geld te verdienen, maar de Apple-gebruiker ervan bewust te maken dat de iPhone en de online opslagruimte iCloud niet al te veilig zijn.

Apple is al sinds maart op de hoogte van de hack maar heeft tot nu toe niets gedaan om het gat te dichten. De hackers betreuren dat en brengen het daarom nu naar buiten.

hackosx

Apple was niet op de hoogte van de NSA DROPOUTJEEP exploit

Vanmorgen vroeg schreven we over de DROPOUTJEEP exploit die de NSA in staat stelt om op afstand gegevens van een iPhone te downloaden zoals contact gegevens, SMS, voicemail, geolocatie maar ook de mogelijkheid om live via de camera en microfoon gegevens te vergaren. De eerste versie van de DROPOUTJEEP exploit stamt uit 2008 en moest nog in het veld door geheime agenten worden geïnstalleerd op de iPhone van het NSA doel maar inmiddels kan dat ook op afstand. Dit liet beveiligingsonderzoeker Jacob “@ioerror” Applebaum gisteren weten op het jaarlijkse congres van de Chaos Computer Club in Duitsland.

Apple gaf aan het begin aan de avond een verklaring aan AllThingsD waaruit blijkt dat Apple nooit met de Amerikaanse veiligheidsdienst NSA heeft samenwerkt aan een backdoor in Apple soft-en hardware voor spionage. In het bericht staat dat Apple Mac OS X en iOS gebruikers juist wil beschermen tegen exploits van hackers maar ook van de overheid:

Apple has never worked with the NSA to create a backdoor in any of our products, including iPhone. Additionally, we have been unaware of this alleged NSA program targeting our products. We care deeply about our customers’ privacy and security. Our team is continuously working to make our products even more secure, and we make it easy for customers to keep their software up to date with the latest advancements. Whenever we hear about attempts to undermine Apple’s industry-leading security, we thoroughly investigate and take appropriate steps to protect our customers. We will continue to use our resources to stay ahead of malicious hackers and defend our customers from security attacks, regardless of who’s behind them.

DROUPOUTJEEP

Amerikaanse geheime dienst NSA kan via de backdoor “DROPOUTJEEP” je iPhone overnemen

Apple liet afgelopen zomer weten dat de Amerikaanse overheid via het surveillance-project PRISM van de National Security Agency (NSA) geen directe toegang heeft tot de servers van Apple. Apple gaf wel aan dat verzoeken van de overheid die betrekking hebben op de nationale veiligheid in behandeling worden genomen. Op het jaarlijkse congres van de Chaos Computer Club in Duitsland liet beveiligingsonderzoeker Jacob “@ioerror” Applebaum weten dat de NSA via een backdoor met de naam ‘DROPOUTJEEP’ toegang heeft tot  iPhones van NSA doelen zodat ze live kunnen meeluisteren en kijken via de microfoon en de camera van je iPhone. Applebaum liet ook weten dat de NSA volledige toegang heeft tot iMessage en SMS berichten, hoewel Apple dit Apple dit afgelopen zomer ten stelligste ontkende.

Afgelopen zomer maakten Franse onderzoekers van het beveiligingsbedrijf Quarkslab op de Hack in the Box-conferentie in Kuala Lumpur ook al bekend dat Apple iMessage berichten kan decoderen zodat ze leesbaar zijn voor bijvoorbeeld de Amerikaanse geheime dienst NSA. Apple liet destijds tegenover the Wall Street Journal weten dat de bevindingen van de Franse onderzoekers niet juist waren en dat ze geen gegevens doorspelen aan de Amerikaanse geheime dienst. Dit liet Apple toen tevens weten via een persbericht:

“We do not provide any government agency with direct access to our servers, and any government agency requesting customer content must get a court order”.

Die court order is helemaal niet nodig want de NSA kan die tijdrovende papierwinkel gewoon omzeilen via de ingebouwde backdoor met de naam “DROPOUTJEEP.” Applebaum lekte de afgelopen week een aantal NSA exploits maar deze is toch wel bijzonder intimiderend voor iPhone gebruikers. Het zijn tools die het spioneren voor de Amerikaanse geheime dienst vereenvoudigen maar tegelijkertijd ook vragen oproepen.

apple-NSA

Via de DROPOUTJEEP exploit krijgt de NSA de mogelijkheid om op afstand gegevens van de iPhone te downloaden zoals contact gegevens, SMS, voicemail, geolocatie en de mogelijkheid om via de camera en microfoon gegevens te vergaren. Alle communicatie via de iPhone naar de NSA is versleuteld en de gebruiker merkt er niets van. De eerste versie van de DROPOUTJEEP exploit uit 2008 moest nog door geheime agenten worden geïnstalleerd op de iPhone van het NSA doel maar inmiddels kan dat vermoedelijk ook op afstand.

Uit de uitgelekte NSA QUANTUMTHEORY documenten blijkt ook dat alle geïmplanteerde exploits in iOS devices altijd werken. Dat roept bij Applebaum de vraag op of Apple geassisteerd heeft met het ontwikkelen van de NSA iOS backdoor:

“They literally claim that anytime they target an iOS device that it will succeed for implantation. Either they have a huge collection of exploits that work against Apple products, meaning that they are hoarding information about critical systems that American companies produce and sabotaging them, or Apple sabotaged it themselves. Not sure which one it is. I’d like to believe that since Apple didn’t join the PRISM program until after Steve Jobs died, that maybe it’s just that they write shitty software. We know that’s true.”

We zijn benieuwd naar de reactie van Apple maar vragen ons ook af of er nog meer van dit soort exploits in Apple devices zitten. In Duitsland is het gebruik van de iPhone onder parlementariërs inmiddels al verboden en onlangs kon je op MobileMac al lezen dat iPads en iPhones verboden zijn in Downing Street 10.  In Nederland zijn alle Eerste en Tweede Kamerleden voorzien van een iPad en daarnaast ook van een iPhone.

In 2010 ontving de Russische president Medvedev tijdens een bezoek aan Apple headquarters in Cupertino van Steve Jobs een iPhone 4 en met de kennis van nu zou je daar toch bijna andere dingen achter gaan zoeken maar de presidentiële iPhone 4 was voorzien van een AT&T simlock zodat het toestel onbruikbaar was in Rusland. We zijn benieuwd hoe Apple CEO Tim Cook dit brandje gaat blussen…..

Mocht je al paranoïde zijn dan zijn hier de instructies van de Amerikaanse geheime dienst NSA om je Mac te beveiligen. En ja die hebben we al in 2011 ook al gegeven maar toen dacht iedereen nog dat het onzin was.

sjNSA

Studenten kunnen het groene indicator lampje van een iSight camera van een antieke MacBook uitschakelen

Gisteren verschenen er berichten op twitter waaruit je zou kunnen opmaken dat hackers eenvoudig met de iSight of FaceTime camera in je Mac kunnen meekijken. Dat blijkt gelukkig wel mee te vallen. Onderzoekers van de Johns Hopkins universiteit hebben een manier gevonden om het groene lampje van een iSight camera uit schakelen zodat ze op afstand mee kunnen kijken zonder dat een gebruiker van een MacBook Core 2 Duo uit 2008 dat in de gaten had. Nieuw is dat overigens niet want in 2011 waarschuwden we al via een factsheet van de NSA dat het mogelijk is en onlangs nog naar aanleiding van het verwijderen van iPads uit Downing Street 10.

Apple’s FaceTime camera is zo ontworpen dat het groene lampje bij gebruik altijd aan gaat maar er bestaat software om die twee functies te scheiden. De FBI en de NSA maken daar al jaren gebruik van bleek onlangs ook uit een bericht in The Washington Post. Volgens Apple kan je de iSight camera van Macs na 2008 niet hacken omdat de LED direct in contact staat met de voeding van de iSight camera. Als de LED uit is, is de camera ook uit. Hackers kunnen dat niet scheiden, maar wie gelooft dat nog?

Studenten van de Amerikaanse Johns Hopkins universiteit kunnen de LED indicator uitschakelen via de OS X’s kernel maar alleen op Macs die zijn gebouwd tot 2008. Op nieuwere Macs kregen ze het niet aan de praat maar als de NSA in 2011 het advies geeft aan hun eigen personeel dat ze beter een plakkertje op de iSight camera kunnen plakken dan weet je natuurlijk ook al genoeg. Een hardware bypass via software is natuurlijk niet uniek maar het is wel goed om te lezen dat Amerikaanse studenten de eerste publieke bevestiging geven dat het kan. Mocht je vreemde dingen doen achter je Mac dan is het dus verstandig om een stukje tape bij de hand te hebben. Tenminste… zolang Apple geen gezichtsherkenning via het display van je iDevice of je Mac heeft ingebouwd want dan gaat het woord van het jaar vast realtime selfie worden.

isight spy

Er zijn vorige maand niet 3 miljoen gebruikersaccounts bij Adobe gehacked maar 38 miljoen….

Vorige maand is er bij Adobe een lek geweest waardoor er volgens Adobe gegevens van 3 miljoen gebruikersaccounts zijn gestolen. Je zou verwachten dat Adobe alle gebruikers dan even een mail stuurt om dit te melden maar blijkbaar was dat niet mogelijk omdat Adobe niet weet welke accounts er gehacked zijn. Inmiddels is een gestolen database van Adobe met 10GB gegevens van gebruikers online verschenen op een website die populair is bij cyber criminelen. Gezien de grootte van de database gaat het mogelijk om gegevens van 38 miljoen Adobe gebruikers. Tijd dus om het wachtwoord van de Adobe ID te wijzigen als je software van Adobe gekocht hebt.

Via LastPass kan je via een online tool controleren of je email in de gestolen database staat. Als dat het geval is moet je het wachtwoord wijzigen. Als je hetzelfde wachtwoord ook gebruikt voor andere websites dan is het verstandig om ook daar je wachtwoord te wijzigen.

adobe

Foxconn servers gehacked en consumenten organisaties kondigen demonstraties aan tegen Apple

De hackers van SwaggSec hebben vanmorgen vroeg informatie vrijgegeven die afkomstig is van de servers van Foxconn, het bedrijf waar Apple iPhones, iPads en MacBooks laat produceren. Foxconn ligt al jaren onder vuur omdat de werkomstandigheden in de fabriek slecht zijn. Apple zet alles op alles om dat te verbeteren maar er gaat nog steeds veel mis bij het bedrijf. Eerder deze week liet CNN een interview zien met een medewerkster van de fabriek die niet blij was en dat heeft een grote impact gehad in de Verenigde Staten. In ieder geval inspiratie voor hackers om de servers van Foxconn leeg te halen en de inhoud te uploaden als een BitTorrent download. Eerder deze maand publiceerde de New York Times ook een artikel over de werkomstandigheden in de Foxconn fabrieken waaruit blijkt dat Apple veel te weinig doet om de werkomstandigheden te verbeteren.

Update: de hackers hebben inmiddels laten weten dat ze de servers van Foxconn hebben gehacked omdat het mogelijk was. Ze hebben het niet gedaan vanwege de slechte werkomstandigheden in de Foxconn fabrieken.

In de gegevens staat niet alleen de inlogcode van Apple met user ID: Apple en wachtwoord: Foxconn2 maar ook de inlog code van CEO Terry Gou van Foxconn ligt op straat. De man die zijn medewerkers onlangs nog vergeleek met beesten. Inmiddels is het lek gedicht.

Naast Foxconn heeft ook Apple vandaag een probleem want SumOfUs en Change.org hebben de oorlog verklaard aan Apple vanwege de slechte omstandigheden van de Chinese fabrieksarbeiders die Apple inhuurt via o.a. Foxconn. Vandaag zal er een grote demonstratie plaatsvinden in Apple’s Grand Central Store. Niet alleen Apple maakt gebruik van de Chinese fabrieken maar ook andere multinationals. Vanwege de grote populariteit van Apple is het bedrijf een handige springplank om de misstanden bekend te maken.

De twee consumenten organisaties bieden vandaag tenminste 35,000 handtekeningen aan die ze binnen 24 uur hebben weten te verzamelen via een online petitie met de titel: Stop Worker Abuse.”

Dear Apple. You know what’s awesome? Listening to NPR podcasts through an Apple Airport, playing through a Mac laptop, while puttering about the kitchen. Do you know the fastest way to replace awesome with a terrible knot in your stomach? Learning that your beloved Apple products are made in factories where conditions are so bad, it’s not uncommon for workers to permanently lose the use of their hands.

Here’s the thing: you’re Apple. You’re supposed to think different. I want to continue to use and love the products you make, because they’re changing the world, and have already changed my life. But I also want to know that when I buy products from you, it’s not at the cost of horrible human suffering.

Naast het aanbieden van de petitie is er vandaag ook een grote demonstratie bij Apple’s nieuwe Grand Central Terminal retail store in New York die ongetwijfeld weer voor veel media exposure zal zorgen. Apple kan er vooralsnog weinig aan doen en de Republikeinen lieten onlangs ook weten dat ze geen Chinese toestanden meer willen en dat Apple fabrieken in de VS moet gaat bouwen. Kansloos maar het toont wel aan hoe erg Foxconn, Apple inmiddels heeft weten te beschadigen.

Safari browser na versie 5.0.4 update alsnog binnen 5 seconden te hacken

Gisteren gaf Apple een update vrij voor de Safari browser voor Mac en Windows met een aanzienlijke lijst met veiligheids updates. Die updates waren niet genoeg want Vupen, een Frans beveiligingsbedrijf wist binnen 5 seconden de vers geüpdate Safari 5.0.4 browser op de jaarlijkse Pwn2Own hackwedstrijd te hacken:

“We pwned Apple Safari on Mac OS X (x64) at pwn2own in 5 seconds”

Volgens Vupen heeft Apple gisteren met de Safari 5.0.4 update zo’n 62 lekken gedicht maar er zitten volgens het bedrijf nog wel een paar gaatjes in de browser. Naast Safari moest ook Microsoft’s Internet Explorer 8 het vrij snel ontgelden.

Charlie Miller met de bijnaam Safari Charlie wist de voorgaande drie  jaar de Safari browser als eerste te hacken op de Pwn2Own hackwedstrijd. Deelnemers zijn verplicht om de gebruikte exploit aan de organisatie van de hackwedstrijd af te staan zodat de gegevens bij de leveranciers van de browsers terecht komt en niet beschikbaar is voor het grote publiek. Na de release van een patch mogen de “onderzoekers” de exploit publiceren.

Bron: 9 to 5 Mac