Michal Ždanský ຫຼັງຈາກຫຼາຍໆມື້ຂອງການສືບສວນພາຍໃນຂອງ Apple, ບໍລິສັດໄດ້ອອກຖະແຫຼງການກ່ຽວກັບ ການແຮັກບັນຊີ iCloud ຂອງນັກສະເຫຼີມສະຫຼອງບາງຄົນ, ຮູບພາບທີ່ລະອຽດອ່ອນຂອງການຮົ່ວໄຫລອອກສູ່ສາທາລະນະ. ອີງຕາມການ Apple, ຮູບພາບບໍ່ໄດ້ຖືກຮົ່ວໄຫລໂດຍການແຮັກ iCloud ແລະ Find My iPhone ບໍລິການ, ຍ້ອນວ່າວິທີການແຮກເກີໄດ້ຮູບພາບ, ວິສະວະກອນຂອງບໍລິສັດຄາລິຟໍເນຍໄດ້ກໍານົດການໂຈມຕີເປົ້າຫມາຍໃສ່ຊື່ຜູ້ໃຊ້, ລະຫັດຜ່ານແລະຄໍາຖາມຄວາມປອດໄພ. ຢ່າງໃດກໍຕາມ, ພວກເຂົາເຈົ້າບໍ່ໄດ້ສະແດງຄວາມຄິດເຫັນກ່ຽວກັບວິທີການຮູບພາບ iCloud ໄດ້.
ອີງຕາມ Wired, ລະຫັດຜ່ານໄດ້ຖືກ cracked ໂດຍການນໍາໃຊ້ຊອບແວ forensic ນໍາໃຊ້ໂດຍອົງການລັດຖະບານ. ຢູ່ໃນກະດານຂ່າວ ອາໂນ-IB, ບ່ອນທີ່ຮູບຄົນດັງຫຼາຍຮູບປະກົດຂຶ້ນ, ສະມາຊິກບາງຄົນໄດ້ສົນທະນາຢ່າງເປີດເຜີຍກ່ຽວກັບການນໍາໃຊ້ຊອບແວໃນນາມຂອງ ຕົວແຍກລະຫັດຜ່ານໂທລະສັບ ElcomSoft. ນີ້ອະນຸຍາດໃຫ້ທ່ານສາມາດໃສ່ຊື່ຜູ້ໃຊ້ທີ່ໄດ້ຮັບແລະລະຫັດຜ່ານເພື່ອດຶງໄຟລ໌ສໍາຮອງຂໍ້ມູນທັງຫມົດຈາກ iPhone ແລະ iPad. ອີງຕາມຜູ້ຊ່ຽວຊານດ້ານຄວາມປອດໄພສໍາພາດໂດຍ Wired, metadata ຈາກຮູບພາບກົງກັບການນໍາໃຊ້ຊອບແວດັ່ງກ່າວ.
ແຮກເກີພຽງແຕ່ຕ້ອງໄດ້ຮັບຊື່ຜູ້ໃຊ້ (Apple ID) ແລະລະຫັດຜ່ານ, ເຊິ່ງພວກເຂົາອາດຈະບັນລຸໄດ້ຍ້ອນວິທີການທີ່ໄດ້ກ່າວມາກ່ອນຫນ້ານີ້ໂດຍໃຊ້ໂຄງການ. iBrute ພ້ອມກັບຊ່ອງໂຫວ່ Find My iPhone, ເຊິ່ງເຮັດໃຫ້ຜູ້ໂຈມຕີສາມາດເດົາລະຫັດຜ່ານໄດ້ໂດຍບໍ່ຈຳກັດຈຳນວນຄວາມພະຍາຍາມ. Apple ໄດ້ແກ້ໄຂຊ່ອງໂຫວ່ທັນທີຫຼັງຈາກທີ່ມັນຖືກຄົ້ນພົບ. ຄວາມຈິງທີ່ວ່າຜູ້ຖືກເຄາະຮ້າຍຈາກການໂຈມຕີຂອງແຮກເກີບໍ່ໄດ້ໃຊ້ການກວດສອບສອງຂັ້ນຕອນ, ເຊິ່ງຮຽກຮ້ອງໃຫ້ໃສ່ລະຫັດທີ່ຖືກສົ່ງໄປຫາໂທລະສັບ, ຍັງມີບົດບາດອັນໃຫຍ່ຫຼວງ. ມັນຄວນຈະສັງເກດວ່າການກວດສອບສອງຂັ້ນຕອນບໍ່ໄດ້ນໍາໃຊ້ກັບການສໍາຮອງຂໍ້ມູນ iCloud ແລະການບໍລິການ Photo Stream, ຢ່າງໃດກໍຕາມ, ພວກເຂົາຈະເຮັດໃຫ້ມັນມີຄວາມຫຍຸ້ງຍາກຫຼາຍທີ່ຈະໄດ້ຮັບລະຫັດຜ່ານຊື່ຜູ້ໃຊ້ໃນສະຖານທີ່ທໍາອິດ.
ຢ່າງໃດກໍຕາມ, ເຖິງແມ່ນວ່າມີການກວດສອບສອງຂັ້ນຕອນ, iCloud ບໍ່ໄດ້ຮັບການປົກປ້ອງທີ່ເຫມາະສົມ. ດັ່ງທີ່ຄົ້ນພົບໂດຍ Michael Rose ຂອງເຄື່ອງແມ່ຂ່າຍ TUAW, ໃນເວລາທີ່ syncing Photo Stream, Safari backup, ແລະຂໍ້ຄວາມອີເມລ໌ກັບຄອມພິວເຕີ Apple ໃຫມ່, ບໍ່ມີການເຕືອນຜູ້ໃຊ້ວ່າຂໍ້ມູນໄດ້ຖືກເຂົ້າເຖິງຈາກຄອມພິວເຕີໃຫມ່. ພຽງແຕ່ມີຄວາມຮູ້ກ່ຽວກັບ Apple ID ແລະລະຫັດຜ່ານເທົ່ານັ້ນທີ່ສາມາດດາວໂຫລດເນື້ອຫາທີ່ໄດ້ກ່າວມາໂດຍບໍ່ມີຄວາມຮູ້ຂອງຜູ້ໃຊ້. ດັ່ງທີ່ທ່ານສາມາດເຫັນໄດ້, ການບໍລິການຟັງຂອງ Apple ຍັງມີບາງຮອຍແຕກ, ເຖິງແມ່ນວ່າຜູ້ໃຊ້ຈະຖືກປົກປ້ອງໂດຍການກວດສອບສອງຂັ້ນຕອນ, ເຊິ່ງ, ໂດຍວິທີທາງການ, ຍັງບໍ່ມີຢູ່ໃນ, ຕົວຢ່າງ, ສາທາລະນະລັດເຊັກຫຼືສະໂລວາເກຍ. ຫຼັງຈາກທີ່ທັງຫມົດ, ຫຼັງຈາກເລື່ອງນີ້, ຮຸ້ນຂອງ Apple ຫຼຸດລົງສີ່ສ່ວນຮ້ອຍ.
ເຈົ້າຄົງບໍ່ເຊື່ອວ່າຄົນດັງສອງຄົນທີ່ມີລະຫັດຜ່ານງ່າຍໆ ແລະຮູບໂປ້ເປືອຍຢູ່ໃນໂທລະສັບຂອງເຂົາເຈົ້າສາມາດຍ້າຍຫຸ້ນຂອງບໍລິສັດຂະໜາດໃຫຍ່ດັ່ງກ່າວໄດ້ແນວໃດ :)
ພວກເຂົາເຈົ້າມີສ່ວນສໍາຄັນໃນຄວາມຈິງທີ່ວ່າຜູ້ໃຊ້ສູນເສຍຂໍ້ມູນຂອງເຂົາເຈົ້າແລະຂ້ອນຂ້າງເລັກນ້ອຍຂອງຄວາມເປັນສ່ວນຕົວ, ດັ່ງນັ້ນໃນກໍລະນີນີ້ມັນເປັນການປົກກະຕິຢ່າງສົມບູນສໍາລັບຮຸ້ນຫຼຸດລົງ. ຢ່າງຫນ້ອຍມັນເປັນການຮຽນຮູ້ທີ່ຈະເອົາໃຈໃສ່ກັບຄວາມປອດໄພແລະພວກເຮົາຜູ້ໃຊ້ຢ່າງຫນ້ອຍຈະເບິ່ງຄືວ່າດີ ;-).
ດັ່ງນັ້ນ, ລະຫັດຜ່ານໄດ້ຖືກ cracked ໂດຍໃຊ້ໂຄງການ iBrute, ເຊິ່ງໃຊ້ວິທີການທົດລອງ / ຄວາມຜິດພາດເພື່ອພະຍາຍາມລະຫັດຜ່ານທີ່ໃຊ້ເລື້ອຍໆໂດຍບາງວັດຈະນານຸກົມ. ຈຸດອ່ອນແມ່ນວ່າຜູ້ຖືກເຄາະຮ້າຍມີວັດຈະນານຸກົມຫຼືລະຫັດຜ່ານທີ່ອ່ອນແອແລະ Apple ບໍ່ໄດ້ປິດກັ້ນວິທີການນີ້ (ເຊັ່ນ: ໂດຍການຈໍາກັດຈໍານວນຄວາມພະຍາຍາມທີ່ລົ້ມເຫລວຕໍ່ນາທີ) ໃນ Find My Phone (ປະຈຸບັນແກ້ໄຂແລ້ວ). ເມື່ອເຂົາເຈົ້າມີລະຫັດຜ່ານ, ເຂົາເຈົ້າສາມາດເຮັດອັນໃດກໍໄດ້ທີ່ເຂົາເຈົ້າຕ້ອງການ. ແຕ່ເພື່ອບໍ່ໃຫ້ເປີດເຜີຍຂໍ້ມູນກ່ຽວກັບການລົງທະບຽນຂອງອຸປະກອນອື່ນທີ່ມີ Apple ID ດຽວກັນ, ພວກເຂົາເຈົ້າໄດ້ດາວໂຫຼດການສໍາຮອງຂໍ້ມູນທີ່ສົມບູນຂອງ iPhone ຈາກ iCloud ໂດຍໃຊ້ໂຄງການ EPPB ແລະສະກັດຮູບພາບຈາກການສໍາຮອງຂໍ້ມູນໂດຍໃຊ້ໂຄງການນັ້ນ. ສະຫຼຸບ - ລະຫັດຜ່ານທີ່ດີແມ່ນພຽງແຕ່ຕ້ອງ.
ຂ້າພະເຈົ້າຈະບໍ່ແປກໃຈຖ້າຫາກວ່າມັນຍັງເປັນການເຄື່ອນໄຫວທີ່ໄດ້ຮັບຄ່າຈ້າງ. ຖິ້ມຂີ້ຝຸ່ນຫຼາຍເທົ່າທີ່ເປັນໄປໄດ້ໃນຍັກໃຫຍ່ Apple ສອງສາມມື້ກ່ອນທີ່ຈະນໍາສະເຫນີສິ່ງໃຫມ່ໆ. ມັນຍັງເປັນຫນຶ່ງໃນສະຖານະການທີ່ເປັນໄປໄດ້ຂອງວິທີທີ່ມັນອາດຈະເປັນ. ເພື່ອໃຫ້ບຸກຄົນມີຄວາມຕື່ນເຕັ້ນໃນຮຸ້ນໃນມື້ນີ້, ສິ່ງທີ່ທ່ານຕ້ອງເຮັດແມ່ນຮັບຮູ້ວ່າມັນມີຄວາມອ່ອນໄຫວແນວໃດ. ແຕ່ຜູ້ທີ່ດີທີ່ສຸດຈະຖືກໂຍນຫມຸນຢູ່ສະ ເໝີ, ມັນຈະບໍ່ປ່ຽນແປງ.
ພວກເຂົາເຈົ້າມີສ່ວນສໍາຄັນໃນຄວາມຈິງທີ່ວ່າຜູ້ໃຊ້ສູນເສຍຂໍ້ມູນຂອງເຂົາເຈົ້າແລະຂ້ອນຂ້າງເລັກນ້ອຍຂອງຄວາມເປັນສ່ວນຕົວ, ດັ່ງນັ້ນໃນກໍລະນີນີ້ມັນເປັນການປົກກະຕິຢ່າງສົມບູນສໍາລັບຮຸ້ນຫຼຸດລົງ. ຢ່າງຫນ້ອຍມັນເປັນການຮຽນຮູ້ທີ່ຈະເອົາໃຈໃສ່ກັບຄວາມປອດໄພແລະພວກເຮົາຜູ້ໃຊ້ຢ່າງຫນ້ອຍຈະເບິ່ງຄືວ່າດີ ;-).
ແນ່ນອນ, Apple ບໍ່ເຄີຍຈ່າຍຄ່າຫຍັງ. ຢຸດການປ້ອງກັນສະພາໃນຄ່າໃຊ້ຈ່າຍທັງຫມົດ. ມັນຫນ້າອັບອາຍແລ້ວ. ພວກເຂົາພຽງແຕ່ແບ່ງປັນມັນ
ພຽງແຕ່ມື້ນີ້ຂ້ອຍໄດ້ຮັບອີເມວຈາກ "checkauth@apple.com". ມັນຄ້າຍຄືກັບ Apple, ແລະມັນບອກວ່າແອັບພລິເຄຊັນທີ່ຂ້ອຍບໍ່ໄດ້ໃຊ້ກໍ່ຖືກດາວໂຫລດຈາກບັນຊີຂອງຂ້ອຍ. ເມື່ອຂ້ອຍໄປປ່ຽນລະຫັດຜ່ານຂອງຂ້ອຍ, ມັນໄດ້ໂອນຂ້ອຍໄປຫາຫນ້າທີ່ຄ້າຍຄືກັບ Apple.com, ແຕ່ທີ່ຢູ່ URL ແມ່ນແຕກຕ່າງກັນຢ່າງຊັດເຈນ.