AntiSec ruba 12 milioni di UDID Apple da un computer, ma FBI smentisce

Gli hacker di Anonymous hanno rubato dati personali da 12 milioni di utenti Apple e ne hanno pubblicati online un milione. Gli "hacktivist" del gruppo AntiSec hanno fatto sapere di avere trovato le informazioni nel computer portatile di Christopher Stangl, dell'Fbi regional Cyber Action team. Oggetto del furto sarebbero gli UDID, ovvero Unique Device Identifiers, di utenti che utilizzano iPhone o iPad. Un database che, a detta degli stessi hacker, è solo un tassello del ben più grande bottino trafugato dal notebook dell'agente. L'obiettivo degli hacker non sembrerebbe Apple ma soprattutto i federali che conservano in modo del tutto insicuro i dati.

"Durante la seconda settimana di Marzo del 2012 - spiegano gli hacker in una nota - un notebook Dell utilizzato dall'agente speciale Christopher K. Stangl, che è parte dei team dell’FBI Regional Cyber Action e dell’Ufficio Evidence Response di New York, è stato violato utilizzando la vulnerabilità Java chiamata Atomic Reference Array che ha permesso il download di alcuni file dal suo desktop tra cui uno chiamato NCFTA_iOS.devices_intel.csv che contiene una lista di 12.367.232 dispositivi Apple iOS, inclusi i codici UDID, nomi utenti, tipo di dispositivo, numeri di telefono, indirizzi e tanto altro ancora".

Statement soon on reports that one of our laptops with personal info was hacked. We never had info in question. Bottom Line: TOTALLY FALSE
— FBI PressOffice (@FBIPressOffice) Settembre 4, 2012

Ma in una dichiarazione via e-mail alla stampa, l'FBI dice semplicemente: "L'FBI è a conoscenza della tesi su rapporti pubblicati riguardo la compromissione di un computer portatile dell'FBI e l'esposizionei dei relativi dati privati UDIDs di Apple. In questo momento non ci sono prove che indicano che un computer portatile FBI è stato compromesso o che all'FBI siano stati richiesti o rubati questi dati". Su Twitter, l'FBI era ancora più schietto: "Dichiarazione sulle relazioni che uno dei nostri portatili con informazioni personali è stato violato. Non abbiamo mai avuto informazioni in questione. Bottom Line: TOTALMENTE FALSE".

Apropos FBI and truth. Remember "The F.B.I. said that it immediately notified Stratfor, but said that at that point it was too late."? Lie.
— AnonymousIRC (@AnonymousIRC) Settembre 5, 2012

Gli hacker di Anonymous hanno risposto ricordando la pubblicazione in Rete di oltre 5 milioni di documenti della società di sicurezza Stratfor, ad opera di WikiLeaks. Sta di fatto che se fosse vero, una volta in possesso di tali informazioni i danni per gli utilizzatori di un sistema iOS potrebbero essere davvero pesanti. Nelle mani sbagliate la correlazione di UDID, nomi utente, email, token di servizio, tipo di dispositivo e numeri di telefono, potrebbe facilmente portare ad entrare in possesso dei singoli account con i quali gli utenti accedono a servizi di pagamento mobile, come l’App Store con la possibilità di vedere il credito della propria carta prosciugarsi in pochi istanti.

Vie: The Register | La Stampa

Privacy: collegati UDID dell'iPhone a milioni di account Facebook

Come tutti saprete, ciascun dispositivo iOS possiede un proprio identificativo unico, chiamato UDID o Unique Device Identifier. Questa serie di cifre e lettere serve ad identificare in maniera univoca un iPhone, iPod touch o iPad. Si tratta di una sequenza di quaranta caratteri immutabile che non è possibile eliminare dalla memoria del dispositivo. Questo UDID non dovrebbe però mai essere collegato all’identità dell’utente del device.

Pare invece che alcune applicazioni presenti su App Store abbinino, all’insaputa dell’utente, il codice UDID del proprio dispositivo con il proprio account Facebook, completo ovviamente di nome e cognome. L'UDID è come un cookie di tracciamento permanente e immutabile che non può essere cambiato. E’ dello scorso mese il risultato di una ricerca che ha dimostrato come OpenFeint, la nota piattaforma sociale dedicata ai giochi, abbia sistematicamente collegato identificativi UDID con il rispettivo profilo di Facebook del proprietario.

Il risultato è un enorme database di dati sensibili di milioni di utenti (si stima siano attorno ai 75 milioni di utenti). Tra le varie clausole che regolano l’utilizzo delle API nello sviluppo di una applicazione c’è l’obbligo per gli sviluppatori di non poter associare pubblicamente l’UDID di un dispositivo con l’account personale di un utente. Nonostante questa affermazione ragionevole, non sta venendo applicata dalla società di Cupertino.

A fare la scoperta è stato Aldo Cortesi, security researcher, che contattato da Repubblica spiega: "Ho scoperto che è possibile collegare un UDID all'identità reale di un utente usando OpenFeint. Nello specifico, usando il codice seriale di un'iPhone, è possibile risalire al profilo Facebook dell'utente in circa il 10% dei casi. Oltre questo, si può ottenere la sua posizione GPS nel 30% dei casi, e altre informazioni potenzialmente identificatrici nel 20% dei casi.

Se si considera che OpenFeint ha 75 milioni di utenti, questo è un problema". OpenFeint è stata obbligata a porre rimedio, chiudendo la falla che permetteva la fuoriuscita di tali informazioni personali, ma la paura è che sviluppatori minori stiano continuando a trarre vantaggio di tali dati. Il fine ultimo di questi sviluppatori sarebbe quello di vendere le informazioni ricavate a società terze che li utilizzerebbero per creare pubblicità mirate a singoli soggetti. 

"Di base, OpenFeint raccoglie informazioni sui videogiochi: quali giochiamo e quando giochiamo, oltre ai dati relativi a punteggi e obiettivi. Ma se l'utente li autorizza, archiviano anche gli account Facebook e Twitter, e la posizione GPS. È possibile usare la loro piattaforma anche per chattare, per collegarsi agli amici e per inviare messaggi, elementi che forniscono ulteriori dati personali", ha detto Cortesi. Per controllare la trasmissione degli UDID agli sviluppatori delle app, Cortesi ha sviluppato un programma chiamato Mitmproxy.