Phones apps as a tool to locate people

שמתי לב למשהו מעניין,
 כשמתחברים לאתר פייסבוק מהנייד ולא מכניסים שם למכשיר, התוכנה כותבת מאיזה IP התחברנו. מדובר בIP גיאוגרפי שמסופק על ידי חברת התקשורת.

כשניסיתי לבצע זאת בערים שונות הIP של חברת הסלולר השתנה. המיקום שקיבלתי בעיר שבה אני גר, היה מדויק, ואילו בערים אחרות הנתונים השתנו בהתאם.

 מישהו יודע איפה הנתונים מאוכסנים? אם נגיע להיסטורית המיקומים המצב יהיה מענין יותר. אפשר לקחת את הנושא קדימה גם על ידי אפליקציות שמהותן הוא מעקב אחר מיקומי הIP של המשתמשים.

אני מאמין שכבר עכשיו הנתונים הללו נאגרים וממפים את המיקום שלכם במחשבה שניה לפחות בפייסבוק הן נשמרות בחברה וגם המשתמש יכול לגשת לנתונים.

 במצב זה המיקום יכול להיות סטטי (wifi מקומי) דינמי מבוסס מודם (wifi של אוטובוס) ולעיתים גלישה מבוססת ספק סלולר. בדקתם פעם מי ספק השירות של האפליקציה שלכם, מי כתב אותה והיכן השרתים שלה ממוקמים?

 לפעמים עדיף אפליקציות מתוצרת מקומית לגבי פייסבוק עדיף תמיד לתת שם למכשיר שממנו גלשתם, אחרת המיקום שלכם נשלח בצורה גלויה לאימייל.

 מצטט: התחברות לפייסבוק באמצעות מכשיר לא ידוע מ-* , (מיקום גיאוגרפי), *‏ (כתובת IP=*.*.*.*‏)‏   התקן בלתי מוכר חדש נכנס לחשבונך בפייסבוק (יום * * * *‏ בשעה ****‏‏) מ-* *, *, *‏ (כתובת IP=*.*.*.*‏)‏.(הערה: מיקום זה מבוסס על מידע שהתקבל מספקית האינטרנט או התקשורת האלחוטית שלך.) זה היית אתה? אם כן, תוכל להתעלם מהמשך ההודעה.

A big damage by micro damage - Bruth force by SMS

תקיפות חד חד ערכיות כפי שהבנתי עד כה משמשות לשאיבה מניפולטיבית של מאגרי מידע, תוך כדי המחקר שאני עורך בנושא שמתי לב לתקיפה נוספת מעניינת לא פחות. על ידי שליחת בקשות לאיפוס סיסמא על ידי SMS ניתן בעצם לגרום למערכת לבזבז את מאגר הלקוחות שלה, ועל הדרך להטריד את כלל הלקוחות. פעולה זו של הזנת אלפי מספרי טלפון הינה פעולה מעניינת מאחר שעל כל תקיפה אפשרית הנתקף משלם בהודעת SMS שרכש... מאחר שאנו יכולים לנסות לשלוח הודעות בשם מספרי טלפון שאינם מוכרים במערכת המשמעות תהיה לרוב לדעת האם הלקוח מוכר, וכך שאיבה של מאגר לקוחות מסויים מהמערכת. בשלב השני תתחיל התקיפה, אנו נזין לתוך המערכת מספרי טלפון (Something the user know) ונשלח את הודעות האיפוס בSMS למכשירי הלקוחות (Something the user has). מאחר שכוונתנו בתסריט זה תהיה לפגוע להשיג מאגר ולהזיק לאובייקט, שליחת ההודעות תעשה בשעה 03:00 (Somthing the consumer don't like at all) מדובר פה על מצב שבו שאבנו מאגר מידע,ניצלנו אותו לפגוע כספית באופן מיידי ביעד (מישהו משלם על שליחת הודעות ה SMS) הלקוח נפגע (שלחנו אליו את ההודעות בשעה שהוא נוהג לישון) , היעד שיכול להיות עסק מקבל פניות נזעמות של לקוחות שהפריעו להם, יהיו כנראה לקוחות שיתעתקו מהשירות, ולאחר מכן כתבות בעיתון על תקיפת סייבר. התקיפה יכולה להיות ממוקדת ב50 משתמשים במשך מספר לילות, מדובר על תקיפה זעירה שיכולה להיות ממוענת דווקא לעובדי חברה בכירים, או כנגד עיתונאים שעלולים לאחר מכן לכתוב על הנושא ולפגוע ביעד. המסקנה שלי היא שמנגנוני איפוס סיסמא אשר מבוססים על מערכת לשליחת SMS אומנם מבטיחים הגעה מאובטחת יחסית ללקוח ) אבל על הדרך הם מסכנים את מאפס הסיסמא. כאשר מתבצעת פעולת איפוס כזו יש לבצעה בעזרת הזנה של מספר נייד יחד עם סיסמת הזדהות וקאפצ׳ה קשה לפיצוח.