De Apple-winkel in Peking
Volgens medewerkers van een de Chinese organisatie Great Fire zouden Chinese staatskrakers de ‘wolk’ van Apple (iCloud) hebben ‘aangevallen’. De aanval zou gister zijn begonnen, op de dag dat de nieuwe iPhone in China officieel werd uitgebracht. De aanval zou van het type man-in-het midden zijn. Dat betekent dat het verkeer tussen de wolk en de gebruikers wordt onderschept door een kwaadwillende derde.
iCloud werkt met SSL-beveiliging, die het de laatste tijd toch al moeilijk heeft. Om die barrière te omzeilen gebruikten de Chinese krakers een zelfondertekend certificaat, dat goed genoeg was om gebruikers van onveilige webprogramma’s te misleiden. “Dit was duidelijk een kwaadaardige aanval op Apple om achter gebruikersnamen en wachtwoorden te komen om zo gegevens die zijn opgeslagen in iCloud te kunnen stelen”, schreef de Chinese organisatie Great Fire, die zich inzet voor vrijheid op het wereldwijde web. “Als gebruikers de waarschuwing negeren en doorklikken naar de Apple-stek om hun wachtwoord en gebruikersnaam in te tikken, komt de daar opgeslagen informatie ter beschikking van de Chinese autoriteiten.” De aanval zal ook te maken kunnen hebben met de informatie over de ongeregeldheden in Hong Kong die gedeeld zou kunnen zijn. De Chinese overheid probeert al tijden verspreiding van haar onwelgevallige informatie te voorkomen. Dat blijft en blijkt erg lastig.
SSL, or Secure Sockets Layer, is een beveiligingsprotocol dat afhankelijk is van certificaten, uitgegeven door betrouwbare organisaties, dat een webstek geen informatie ‘lekt’. In de aanval werd gebruik gemaakt van een zelfondertekend certificaat, waarop, ten onrechte, wordt gesuggereerd dat dat van iCloud afkomstig is en niet gesteund wordt door een officiële certificaatuitgever. Een goed afgestelde webrauzer weigert die certificaten, maar 360 Secure Browser, een populair webprogramma van het Chinese bedrijf Qihoo, doet dat niet. Een veilige webrauzer lijkt dus een goede oplossing. Een andere is de ‘dubbelloops’ toegang tot met wachtwoord afgeschermde webstekken. Die dubbele dekking voorkomt niet dat de kraker mee kan kijken, maar wel dat er dingen worden gestolen. Apple weigerde volgens de Britse krant the Guardian om commentaar te geven.
Bron: the Guardian