Η Εφαρμογή Μηνυμάτων Tokee Διαρρέει 1,2 Εκατομμύρια Προφίλ Χρηστών σε Έκθεση Βάσης Δεδομένων

Τι Αποκάλυψε Πραγματικά η Διαρροή Βάσης Δεδομένων του Tokee

Ερευνητές ασφαλείας ανακάλυψαν πρόσφατα μια μη προστατευμένη βάση δεδομένων που ανήκει στο Tokee, μια εφαρμογή ανταλλαγής βίντεο και μηνυμάτων κειμένου, η οποία ήταν εκτεθειμένη και προσβάσιμη χωρίς καμία αυθεντικοποίηση. Η βάση δεδομένων περιείχε εγγραφές για περίπου 1,2 εκατομμύρια χρήστες, συμπεριλαμβανομένων πλήρων ονομάτων, αριθμών τηλεφώνου και device tokens. Αυτή η τελευταία κατηγορία αξίζει ιδιαίτερης προσοχής: τα device tokens είναι μοναδικά αναγνωριστικά συνδεδεμένα με ένα συγκεκριμένο τηλέφωνο ή tablet, και μπορούν να χρησιμοποιηθούν για την αναγνώριση συσκευής σε υπηρεσίες, την αποστολή μη εξουσιοδοτημένων push notifications ή τη χαρτογράφηση των μοτίβων δραστηριότητας ενός χρήστη στο χρόνο.

Αυτό δεν ήταν μια περίπλοκη επίθεση. Κανένας εισβολέας δεν χρειάστηκε να διαπεράσει τείχη προστασίας ή να εκμεταλλευτεί σύνθετες ευπάθειες. Η βάση δεδομένων απλώς αφέθηκε ανοιχτή, πράγμα που σημαίνει ότι οποιοσδήποτε ήξερε πού να κοιτάξει θα μπορούσε να έχει πρόσβαση και να αντιγράψει τα δεδομένα. Το αν κάποια μη εξουσιοδοτημένα μέρη το έκαναν πριν οι ερευνητές εντοπίσουν και αναφέρουν την έκθεση δεν έχει επιβεβαιωθεί δημόσια, και αυτό είναι ακριβώς το πρόβλημα με αυτόν τον τύπο περιστατικού.

Η κλίμακα της έκθεσης την κατατάσσει σταθερά στην κατηγορία των σοβαρών περιστατικών παραβίασης ιδιωτικότητας. Οι αριθμοί τηλεφώνου συγκεκριμένα αποτελούν στόχους υψηλής αξίας διότι χρησιμοποιούνται για έλεγχο ταυτότητας δύο παραγόντων, επιθέσεις SIM-swapping και στοχευμένες εκστρατείες phishing μέσω SMS.

Γιατί η Κρυπτογράφηση Μόνη της Δεν Προστατεύει τους Χρήστες Εφαρμογών Μηνυμάτων

Μια κοινή παραδοχή μεταξύ χρηστών που ενδιαφέρονται για την ιδιωτικότητά τους είναι ότι η επιλογή μιας εφαρμογής μηνυμάτων με κρυπτογράφηση από άκρο σε άκρο λύνει τα περισσότερα προβλήματα έκθεσης δεδομένων τους. Το περιστατικό του Tokee απεικονίζει ακριβώς γιατί αυτή η παραδοχή είναι ελλιπής.

Η κρυπτογράφηση από άκρο σε άκρο προστατεύει το περιεχόμενο των μηνυμάτων κατά τη μεταφορά τους μεταξύ αποστολέα και παραλήπτη. Δεν προστατεύει τα μεταδεδομένα που οι πλατφόρμες μηνυμάτων συλλέγουν και αποθηκεύουν στους δικούς τους διακομιστές: ποιος είστε, ποια συσκευή χρησιμοποιείτε, με ποιον αριθμό τηλεφώνου εγγραφήκατε και πόσο συχνά χρησιμοποιείτε την εφαρμογή. Όλες αυτές οι πληροφορίες βρίσκονται σε βάσεις δεδομένων που ελέγχονται από τον πάροχο της εφαρμογής, και αν αυτές οι βάσεις δεδομένων είναι εσφαλμένα διαμορφωμένες ή ανεπαρκώς ασφαλισμένες, καμία κρυπτογράφηση μηνυμάτων δεν εμποδίζει τη διαρροή τους.

Αυτή είναι η ίδια δομική ευπάθεια που κάνει ακόμα και πλατφόρμες με επίκεντρο την ιδιωτικότητα δύσκολο να εμπιστευτεί κανείς πλήρως. Το περιεχόμενο των μηνυμάτων μπορεί να είναι αδύνατο να αναγνωστεί, αλλά τα περιβάλλοντα δεδομένα αφηγούνται τη δική τους ιστορία. Καθώς η ΕΕ συζητά την υποχρεωτική νομοθεσία παρακολούθησης συνομιλιών, το επιχείρημα ότι η συλλογή μεταδεδομένων είναι εγγενώς λιγότερο ευαίσθητη από το περιεχόμενο μηνυμάτων γίνεται ολοένα και πιο δύσκολο να υποστηριχθεί.

Η παραβίαση του Tokee είναι ένα συγκεκριμένο παράδειγμα του τι συμβαίνει όταν αυτά τα μεταδεδομένα δεν αντιμετωπίζονται με την ίδια αυστηρότητα με το ίδιο το περιεχόμενο των μηνυμάτων.

Πώς τα VPN Μειώνουν το Αποτύπωμα Μεταδεδομένων σας στους Διακομιστές Εφαρμογών

Όταν συνδέεστε σε μια εφαρμογή μηνυμάτων χωρίς VPN, οι διακομιστές της εφαρμογής καταγράφουν την πραγματική σας IP διεύθυνση μαζί με τη δραστηριότητα του λογαριασμού σας. Αυτή η IP διεύθυνση μπορεί να χρησιμοποιηθεί για να συναχθεί η κατά προσέγγιση τοποθεσία σας, ο πάροχος υπηρεσιών διαδικτύου σας και σε ορισμένες περιπτώσεις η ταυτότητά σας. Αν αυτά τα δεδομένα από την πλευρά του διακομιστή εκτεθούν ποτέ σε μια παραβίαση όπως αυτή του Tokee, ή κατάσχεθούν με δικαστική εντολή, ή γίνουν προσβάσιμα από έναν φορέα απειλής συνδεδεμένο με κράτος, η IP διεύθυνσή σας γίνεται ένα ακόμα στοιχείο αναγνωριστικών πληροφοριών συνδεδεμένων με τον λογαριασμό σας.

Ένα VPN αντικαθιστά την πραγματική σας IP διεύθυνση με μία που ανήκει στον διακομιστή VPN, οπότε αυτό που καταγράφεται στα αρχεία καταγραφής του διακομιστή της εφαρμογής είναι μια κοινόχρηστη διεύθυνση και όχι μία που οδηγεί απευθείας σε εσάς. Αυτό δεν εμποδίζει μια παραβίαση να συμβεί, και δεν προστατεύει τον αριθμό τηλεφώνου ή το device token με το οποίο εγγραφήκατε. Αλλά μειώνει ουσιαστικά το πόσο τα εκτεθειμένα δεδομένα μπορούν να χρησιμοποιηθούν για τον εντοπισμό ή την αναγνώρισή σας.

Η σημασία του περιορισμού του αποτυπώματος μεταδεδομένων σας γίνεται πιο σαφής σε περιβάλλοντα υψηλού κινδύνου. Οι εξελιγμένες επιθέσεις που χρηματοδοτούνται από κράτη στοχεύουν ολοένα και περισσότερο υποδομές προσωπικής επικοινωνίας, και η προσθήκη ενός VPN πάνω από τις εφαρμογές μηνυμάτων σας προσθέτει ένα πραγματικό, έστω και μερικό, φράγμα. Ομοίως, αξίζει να θυμόμαστε ότι κακόβουλες εφαρμογές στη συσκευή σας μπορούν επίσης να συλλέγουν δεδομένα σε επίπεδο συστήματος, όπως φαίνεται σε περιπτώσεις όπως το κακόβουλο λογισμικό NoVoice που μόλυνε πάνω από 2,3 εκατομμύρια συσκευές Android μέσω του Google Play, ενισχύοντας την αξία της μείωσης των αναγνωρίσιμων δεδομένων που μπορεί να συλλέξει και να αποθηκεύσει οποιαδήποτε μεμονωμένη εφαρμογή.

Τι Πρέπει να Κάνουν Τώρα Αμέσως οι Χρήστες του Tokee

Αν έχετε λογαριασμό στο Tokee, αντιμετωπίστε τον εγγεγραμμένο αριθμό τηλεφώνου σας ως δυνητικά παραβιασμένο. Αυτό σημαίνει να παραμένετε σε εγρήγορση για ασυνήθιστα μηνύματα SMS, ιδιαίτερα εκείνα που σας ζητούν να κάνετε κλικ σε συνδέσμους ή να επιβεβαιώσετε στοιχεία λογαριασμού. Να είστε ιδιαίτερα προσεκτικοί σχετικά με τυχόν μηνύματα που ισχυρίζονται ότι προέρχονται από τράπεζα, υπηρεσία παράδοσης ή εταιρεία τεχνολογίας, καθώς ο αριθμός τηλεφώνου σας μπορεί τώρα να κυκλοφορεί μεταξύ ατόμων που συλλέγουν δεδομένα από παραβιάσεις.

Αν χρησιμοποιήσατε τον ίδιο αριθμό τηλεφώνου για να ενεργοποιήσετε τον έλεγχο ταυτότητας δύο παραγόντων σε άλλους λογαριασμούς, εξετάστε το ενδεχόμενο να μεταβείτε σε μια εφαρμογή αυθεντικοποίησης αντί για επαλήθευση βάσει SMS, καθώς οι αριθμοί τηλεφώνου που εκτίθενται σε παραβιάσεις χρησιμοποιούνται συχνά σε σχέδια SIM-swapping που έχουν ως στόχο την κατάληψη λογαριασμών.

Γενικότερα, αυτή η παραβίαση είναι μια χρήσιμη υπενθύμιση για να ελέγξετε ποιες εφαρμογές έχουν πρόσβαση στον αριθμό τηλεφώνου σας και να επανεξετάσετε τα δικαιώματα που έχουν χορηγηθεί στις εφαρμογές μηνυμάτων στη συσκευή σας. Ο περιορισμός των δεδομένων που μπορούν να συλλέξουν οι εφαρμογές εξαρχής αποτελεί πιο ανθεκτική μορφή προστασίας από το να ελπίζουμε ότι κάθε πλατφόρμα ασφαλίζει σωστά τις βάσεις δεδομένων της.

Τέλος, η συνεχής χρήση VPN κατά τη σύνδεση σε εφαρμογές μηνυμάτων προσθέτει ένα επίπεδο προστασίας που λειτουργεί ανεξάρτητα από τις πρακτικές ασφαλείας που ακολουθεί η ίδια η εφαρμογή. Δεν μπορείτε να ελέγξετε πώς το Tokee ή οποιαδήποτε άλλη πλατφόρμα διαχειρίζεται την υποδομή backend της, αλλά μπορείτε να ελέγξετε πόσα αναγνωριστικά στοιχεία φτάνουν σε αυτούς τους διακομιστές εξαρχής.

Η έκθεση του Tokee είναι μια υπενθύμιση ότι η ιδιωτικότητα στις πλατφόρμες μηνυμάτων δεν είναι απλώς συνάρτηση της κρυπτογράφησης που είναι ενσωματωμένη στην ίδια την εφαρμογή. Εξαρτάται επίσης από τον τρόπο με τον οποίο η πλατφόρμα χειρίζεται τα δεδομένα που περιβάλλουν τις επικοινωνίες σας, και αυτό το μέρος της εξίσωσης βρίσκεται εντελώς εκτός του ελέγχου σας μόλις τα παραδώσετε. Η ανάπτυξη συνηθειών που ελαχιστοποιούν αυτή την παράδοση είναι η πιο πρακτική άμυνα που έχουν στη διάθεσή τους οι καθημερινοί χρήστες.