Hva Tokee-databaselekkasjen faktisk eksponerte
Sikkerhetsforskere oppdaget nylig en ubeskyttet database tilhørende Tokee, en video- og tekstmeldingsapplikasjon, som lå eksponert og tilgjengelig uten noen form for autentisering. Databasen inneholdt poster for omtrent 1,2 millioner brukere, inkludert fulle navn, telefonnumre og enhetstokens. Denne siste kategorien fortjener særlig oppmerksomhet: enhetstokens er unike identifikatorer knyttet til en bestemt telefon eller nettbrett, og de kan brukes til å fingeravtrykke en enhet på tvers av tjenester, sende uautoriserte push-varsler eller kartlegge en brukers aktivitetsmønstre over tid.
Dette var ikke et sofistikert angrep. Ingen angriper trengte å bryte seg gjennom brannmurer eller utnytte komplekse sårbarheter. Databasen ble rett og slett stående åpen, noe som betyr at hvem som helst som visste hvor de skulle lete, kunne ha fått tilgang til og kopiert dataene. Hvorvidt uautoriserte parter faktisk gjorde dette før forskerne fant og rapporterte eksponeringen, er ikke offentlig bekreftet – og det er nettopp det som er problemet med denne typen hendelser.
Omfanget av eksponeringen plasserer den klart i kategorien alvorlige personvernhendelser. Telefonnumre er spesielt høyverdige mål fordi de brukes til tofaktorautentisering, SIM-bytteangrep og målrettede phishing-kampanjer via SMS.
Hvorfor kryptering alene ikke beskytter brukere av meldingsapper
En vanlig antakelse blant personvernbevisste brukere er at det å velge en ende-til-ende-kryptert meldingsapp løser det meste av problemene knyttet til dataeksponering. Tokee-hendelsen illustrerer nøyaktig hvorfor denne antakelsen er ufullstendig.
Ende-til-ende-kryptering beskytter innholdet i meldinger mens de reiser mellom avsender og mottaker. Den beskytter ikke metadataene som meldingsplattformer samler inn og lagrer på egne servere: hvem du er, hvilken enhet du bruker, hvilket telefonnummer du registrerte deg med, og hvor ofte du bruker appen. All denne informasjonen lever i databaser kontrollert av appleverandøren, og hvis disse databasene er feilkonfigurert eller utilstrekkelig sikret, hindrer ingen mengde meldingskryptering dem fra å lekke.
Dette er den samme strukturelle sårbarheten som gjør selv personvernfokuserte plattformer vanskelige å stole fullt ut på. Meldingsinnholdet kan være uleselig, men de omkringliggende dataene forteller sin egen historie. Ettersom EU debatterer lovgivning om obligatorisk chatovervåking, er argumentet om at metadatainnsamling er iboende mindre sensitiv enn meldingsinnhold stadig vanskeligere å forsvare.
Tokee-bruddet er et konkret eksempel på hva som skjer når disse metadataene ikke håndteres med samme grundighet som selve meldingsinnholdet.
Hvordan VPN-er reduserer ditt metadatafotavtrykk på appservere
Når du kobler til en meldingsapp uten VPN, logger appens servere din reelle IP-adresse sammen med kontoaktiviteten din. Denne IP-adressen kan brukes til å utlede din omtrentlige plassering, din internettleverandør og i noen tilfeller din identitet. Hvis disse serverdataene noen gang eksponeres i et brudd som Tokees, begjæres utlevert eller aksesseres av en statsstøttet trusselaktør, blir IP-adressen din enda en identifiserende opplysning knyttet til kontoen din.
En VPN erstatter din reelle IP-adresse med en som tilhører VPN-serveren, slik at det som registreres i appens serverlogger er en delt adresse i stedet for en som peker direkte tilbake til deg. Dette forhindrer ikke et brudd fra å skje, og det beskytter ikke telefonnummeret eller enhetstokenet du registrerte deg med. Men det reduserer på en meningsfull måte hvor mye de eksponerte dataene kan brukes til å lokalisere eller identifisere deg.
Viktigheten av å begrense metadatafotavtrykket ditt blir tydeligere i høyrisikosammenhenger. Sofistikerte statsstøttede angrep retter seg i økende grad mot personlig kommunikasjonsinfrastruktur, og det å legge et VPN oppå meldingsappene dine legger til en reell, om enn delvis, barriere. Det er også verdt å huske at ondsinnede apper på enheten din kan høste data på systemnivå, som sett i tilfeller som NoVoice-skadevaren som infiserte over 2,3 millioner Android-enheter via Google Play, noe som understreker verdien av å redusere de identifiserbare dataene en enkelt app kan samle inn og lagre.
Hva Tokee-brukere bør gjøre nå
Hvis du har en konto hos Tokee, bør du behandle det registrerte telefonnummeret ditt som potensielt kompromittert. Det betyr at du bør være årvåken overfor uvanlige SMS-meldinger, særlig de som ber deg klikke på lenker eller bekrefte kontodetaljer. Vær spesielt forsiktig med meldinger som utgir seg for å komme fra en bank, en leveringstjeneste eller et teknologiselskap, ettersom telefonnummeret ditt kan nå sirkulere blant personer som samler inn lekkede data.
Hvis du brukte det samme telefonnummeret til å aktivere tofaktorautentisering på andre kontoer, bør du vurdere å bytte disse kontoene til en autentiseringsapp i stedet for SMS-basert verifisering, siden telefonnumre eksponert i brudd ofte brukes i SIM-bytteopplegg som er utformet for å kapre kontoer.
Mer generelt er dette bruddet en nyttig påminnelse om å gjennomgå hvilke apper som har tilgang til telefonnummeret ditt, og om å se over tillatelsene som er gitt til meldingsapplikasjoner på enheten din. Å begrense hvilke data apper kan samle inn i utgangspunktet er en mer varig form for beskyttelse enn å håpe at hver plattform sikrer databasene sine på riktig måte.
Til slutt gir konsekvent bruk av VPN mens du er koblet til meldingsapper et beskyttelseslag som fungerer uavhengig av hvilke sikkerhetspraksiser appen selv følger. Du kan ikke kontrollere hvordan Tokee eller noen annen plattform håndterer sin backend-infrastruktur, men du kan kontrollere hvor mye identifiserende informasjon som når disse serverne i utgangspunktet.
Tokee-eksponeringen er en påminnelse om at personvern på meldingsplattformer ikke bare er en funksjon av krypteringen som er innebygd i selve appen. Det avhenger også av hvordan plattformen håndterer dataene rundt kommunikasjonen din – og den delen av ligningen er helt utenfor din kontroll i det øyeblikket du overleverer dem. Å bygge vaner som minimerer denne overleveringen er det mest praktiske forsvaret tilgjengelig for vanlige brukere.
