iPad-hacker in beroep tegen lange gevangenisstraf
Een beveiligingsonderzoeker die in de Verenigde Staten tot een gevangenisstraf van 41 maanden werd veroordeeld wegens het aantonen van een beveiligingslek bij telecomprovider AT&T, gaat in beroep tegen zijn veroordeling en celstraf. Andrew Auernheimer, bekend onder het alias Weev, is één van de oprichters van Goatse Security.
De groep ontdekte een lek op de website van AT&T. Het e-mailadres van AT&T-klanten werd automatisch ingevuld als die vanaf hun iPad de pagina bezochten. De tablet was voorzien van een unieke code die in de URL verscheen als de AT&T site werd geladen.
Auernheimer schreef samen met Daniel Spitler een script dat zich tegenover de servers van AT&T als iPad voordeed en zo de gegevens van 114.000 iPad-eigenaren verzamelde, waaronder militaire en overheidsfunctionarissen, topbestuurders en tal van bekendheden.
Voorbeeld
Volgens de procureur-generaal wist Auernheimer dat hij de wet overtrad toen hij samen met Spitler het probleem misbruikte en de persoonsgegevens buitmaakte. Een deel daarvan werd vervolgens naar een journalist van Gawker doorgestuurd. "De overheid wilde een voorbeeld van Auernheim maken", stelt Hanni Fakhoury, advocaat van de Electronic Frontier Foundation (EFF).
De Amerikaanse digitale burgerrechtenbeweging heeft samen met verschillende juridische experts beroep tegen het vonnis aangetekend. "De enige boodschap die dit de gemeenschap van beveiligingsonderzoekers stuurt is dat als je een beveiligingslek vindt, je achter de tralies kunt belanden als je alarm slaat", stelt Fakhoury.
Ze krijgt bijval van rechtenprofessor Orin Kerr. "Deze zaak gaat over de vrijheid om op het internet te surfen. Het congres had nooit de bedoeling om het bezoeken van een openbare website strafbaar te stellen."
"De enige boodschap die dit de gemeenschap van beveiligingsonderzoekers stuurt is dat als je een beveiligingslek vindt, je achter de tralies kunt belanden als je alarm slaat"
Als je bij een huis gaat testen of het een beveiligingslek heeft, kun je ook gepakt worden voor inbraak.
En waarom direct naar de pers stappen? Hij had toch ook achter de schermen een akkoordje met AT&T kunnen maken, dan had hij er waarschijnlijk nog wat centjes aan verdiend.
Deze zaak gaat over de vrijheid om op het internet te surfen. Het congres had nooit de bedoeling om het bezoeken van een openbare website strafbaar te stellen."
Het buit maken van 140.000 persoons gegevens kun je geen "surfen" noemen, maar dat is stelen.
(aub: wie een minnetje geeft moet het ook onderbouwen)
Ik vind dat hier hetzelfde gebeurt. Ook vind ik wel dat hij geen data van 114.000 eigenaren moest verzamelen om een punt te maken.
Maar denk dat AT&T ook wel in de fout gaat met het slecht beveiligen van hun database. Dus gaat het hier voor mij ook om een voorbeeld stellen.
En kijkend naar het artikel en de reactie van Steve, gaan er twee dingen door m'n hoofd.
Als de voordeur open staat en je loopt naar binnen, dan is het naar mijn weten feitelijk geen inbreken.
De vraag is vervolgens of het stelen is, als ik een kopie maak van de aanwezige spullen/informatie.
Je zou feitelijk kunnen stellen dat het publiekelijk toegankelijke informatie is/was, daar de deur open stond.
Ethisch gezien is het een andere discussie.
En kijkend naar het artikel en de reactie van Steve, gaan er twee dingen door m'n hoofd.
Als de voordeur open staat en je loopt naar binnen, dan is het naar mijn weten feitelijk geen inbreken.
De vraag is vervolgens of het stelen is, als ik een kopie maak van de aanwezige spullen/informatie.
Je zou feitelijk kunnen stellen dat het publiekelijk toegankelijke informatie is/was, daar de deur open stond.
Ethisch gezien is het een andere discussie.
Aangezien ze een script gebruikten om de servers van AT&T te misleiden, is dit iets wat lijkt op het gebruik van een digitale loper. Ze hebben dus bewust systemen misleid. Het aantal van 140.000 is ook buitensporig, het probleem had ook kunnen worden aangetoond met toegang tot gegevens van 10 personen.
Ja, het is goed dat je onderzoekt wat een lek lijkt, maar wanneer je bewijs hebt dat het klopt, moet je stoppen en het melden aan de andere partij. Doet die er niets mee, dan kun je eventueel publiek gaan met de ontdekking. Een andere optie kan zijn, om dit bij bevoegde instanties te melden, wanneer het lek i.c.m. het niet oplossen in strijd is met wetgeving.
Het aantonen van deze fout in de software had misschien subtieler gekunt maar de laksheid van managers in dergelijke grote organisaties is bekend. Men heeft overal lak aan totdat men er echt niet meer onderuit kan. Het was simpelweg een architectuurfout in de software om dergelijke gegevens op basis van een eenvoudig te raden code beschibaar te maken.
Er zijn zelfs in Amerika wetten die bepalen dat bedrijven gegevens veilig dienen te houden. En een organisatie ter grote van AT&T beschikte in potentie ongetwijfeld over de middelen om de code te laten beoordelen en heeft deze moeite blijkbaar niet genomen of het is niet goed uitgevoerd. Zou men misschien intern gelogen hebben over de kwaliteitscontrole op deze software of men was gewoon incompetent?
Het blijft een absurditeit dat het aantonen van een dergelijk architectuurfout op een harde manier resulteert in een langjarige gevangenisstraf. Het signaal wat de overheid hiermee afgeeft is dat het grote bedrijven indekt als deze de fout in gaan en iemand dat laat zien. Het geeft ook aan dat het betreffende overheidsorgaan nog veel moet leren over de wijze waarop het om moet gaan met digitale kwesties.
Een duidelijk gebrek aan kwaliteitscontrole op de gebruikte of in dit geval ontbrekende afdoende beveiliging wordt via het old boys network weer eens onder het tapijt geveegt. Fijn als men zo omgaat met het ontwikkelen van carrier grade software tegenwoordig. dat belooft wat voor de stabiliteit van de software als systemen om hulpdiensten te bellen met een dergelijke kwaliteit software geladen worden.
Iedereen maar zeiken over dat het veiliger moet en dat we een beter kwaliteit code moeten bouwen zonder beveiligingsfouten. Maar de eerste die aantoont dat het fout gaat mag de bak in. Contradictio in terminis of beter gezegd in dit geval. De overheid zegt A maar handelt naar B.
Zolang de (US) overheid niet inziet dat haar handelen rechtstreeks indruist tegen haar eigen belang om de grote organisaties informatiebeveiliging beter te laten uitvoeren zal er niks veranderen. Wie de managers van dergelijke organisaties niet dwingt om informatiebeveilging serieus te nemen zal nooit iets bereiken. Zij bepalen wat er gebeurd en of er tijd wordt genomen om zaken goed te beveiligen. Niemand anders...
My two cents...
1.000 was ook voldoende geweest om het probleem kenbaar te maken.
maar dan hadden ze waarschijnlijk ook 40 maanden straf geeist.
De route via de journalist is niet erg handig.
Sherrod DeGrippo:
"Over a candlelit dinner of tuna sashimi, Weev asked if I would attribute his comments to Memphis Two, the handle he used to troll Kathy Sierra, a blogger. Inspired by her touchy response to online commenters, Weev said he “dropped docs” on Sierra, posting a fabricated narrative of her career alongside her real Social Security number and address. This was part of a larger trolling campaign against Sierra, one that culminated in death threats. Weev says he has access to hundreds of thousands of Social Security numbers. About a month later, he sent me mine."
Andrew heeft zich later ook bekend gemaakt als degene die dit gedaan heeft.
Dit is de wereld waarin hij leeft http://www.nytimes.com/2008/08/03/magazine/03trolls-t.html?pagewanted=all&_r=0
Hij doet het niet voor "de goede zaak". Dat is voor hem een middel.
What else is new?
Hij had ook zijn bevindingen kunnen delen zonder gegevens te verzamelen
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Chief Information Security Officer
Utrecht heeft jou nodig! Als Chief Information Security Officer speel jij een cruciale rol in de bescherming van de digitale informatie van de gemeente Utrecht. Als geen ander weet jij welke dreigingen er zijn en kun je deze vertalen naar risico's die de gemeente en haar inwoners lopen. Solliciteer nu!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
