Keçi Güvenliği - Goatse Security

Keçi Güvenliği
aka GoatSec[1][2]
Goatse Security Logo.png
Goatse Security logosu
OluşumuAralık 2009; 11 yıl önce (2009-12)[3]
AmaçHacklemek
Üyelik
Andrew "weev" Auernheimer[4][5]
Sam Hocevar[4][6][7]
Daniel Spitler[4][8]
Leon Kaiser[2][4]
Nick "Rucas" Değeri[4][9][10]
Ürün:% s
Sıkmak[11][12]
İnternet sitesigüvenlik.goatse.fr (feshedilmiş)

Keçi Güvenliği (GoatSec) gevşek örgülü, dokuz kişilik[14] gri şapka[15] hacker grubu[16] güvenlik açıklarını ortaya çıkarmada uzmanlaşmış.[3][17] Anti-blogging'in bir bölümüdür İnternet trolleme olarak bilinen organizasyon Amerika Gay Zenci Derneği (GNAA).[2] Grup adını Goatse.cx şok bölgesi,[5] ve "Gaping Holes Exposed" u seçti. slogan.[13] Web sitesi, Mayıs 2014'ten bu yana güncelleme yapılmadan terk edildi.[18]

Goatse Security, Haziran 2010'da e-mail adresleri yaklaşık 114.000 Apple iPad kullanıcısının içinde. Bu bir FBI grup üyelerinden ikisi hakkında soruşturma ve suç duyurusunda bulunma.

Kuruluş

GNAA'nın üyeliği dahilinde birkaç güvenlik araştırmacısı vardı. Goatse Security sözcüsüne göre Leon Kaiser Grup, GNAA tarafından yayınlanan güvenlik verilerini ciddiye alacak kimsenin olmayacağına inandığı için GNAA yeteneklerinden tam olarak yararlanamadı. GNAA üyelerinin güvenlik bulgularını yayınlayabileceği bir ortam oluşturmak için GNAA, Aralık 2009'da Goatse Security'yi oluşturdu.[2][3]

Tarayıcı güvenlik açıklarının keşfi

Web tarayıcısını korumak için protokoller arası istismar, Mozilla birkaçını engelledi bağlantı noktaları o HTML formları normalde erişemeyecektir. Ocak 2010'da GNAA, Mozilla'nın bloklarının 6667 numaralı bağlantı noktası, Mozilla tarayıcılarını çapraz protokol komut dosyalarına karşı savunmasız bıraktı. GNAA bir JavaScript tabanlı istismar etmek amacıyla sel IRC kanallar. olmasına rağmen EFnet ve OFTC saldırıları engelleyebildik, Freenode saldırılara karşı koymakta zorlandı. Goatse Security, güvenlik açığını ortaya çıkardı ve üyelerinden biri olan Andrew Auernheimer, aka "Weev, "kötüye kullanma hakkında bilgi yayınladı Ansiklopedi Dramatica.[19][20][21]

Mart 2010'da, Goatse Security bir tamsayı taşması Apple'ın web tarayıcısındaki güvenlik açığı, Safari ve Encyclopedia Dramatica'da bir istismar yayınladı.[22] Bağlantı noktası numarasına 65.536 ekleyerek bir kişinin engellenen bağlantı noktasına erişebileceğini öğrendiler.[23][24] Bu güvenlik açığı şu konumlarda da bulundu: Arora,[25] iCab,[26] OmniWeb,[27] ve Paslanmaz.[28] Apple, Safari'nin masaüstü sürümlerindeki aksaklığı Mart ayında düzeltse de şirket, tarayıcının mobil sürümlerindeki aksaklığı çözmeden bıraktı.[22][29] Goatse Security, bir bilgisayar korsanının Apple'a erişim sağlamak ve zarar vermek için mobil Safari kusurundan yararlanabileceğini iddia etti. iPad.[22][29]

AT & T / iPad e-posta adresi sızıntısı

Goatse Security, Haziran 2010'da, AT&T İnternet sitesi.[30][31] AT&T tek sağlayıcısıydı 3G hizmet için elma 's iPad içinde Amerika Birleşik Devletleri zamanında.[32] AT & T'nin 3G hizmetine bir iPad'den kaydolurken AT&T, ICC-ID iPad'lerden SIM kart ve bunu kayıt sırasında verilen e-posta adresiyle ilişkilendirir.[30][33] İPad'den oturum açma sürecini kolaylaştırmak için, AT&T web sitesi SIM kartın ICC-ID'sini alır ve e-posta adresi alanını kayıt sırasında verilen adresle önceden doldurur.[30][33] Goatse Security, bir HTTP isteği AT&T web sitesine gömülü geçerli bir ICC-ID ile, web sitesi bu ICC-ID ile ilişkili e-posta adresini ortaya çıkaracaktır.[30][33]

5 Haziran 2010'da, "JacksonBrown" olarak da bilinen Daniel Spitler, bu güvenlik açığını ve bundan yararlanmanın olası yollarını tartışmaya başladı. e-dolandırıcılık, bir IRC kanalında.[8][34][35] Goatse Security bir PHP tabanlı kaba kuvvet Rastgele ICC-ID'leri ile HTTP isteklerini, meşru bir ICC-ID girilene kadar AT&T web sitesine gönderecek ve ICC-ID'ye karşılık gelen e-posta adresini döndürecek komut dosyası.[30][33] Bu komut dosyası "iPad 3G Account Slurper" olarak adlandırıldı.[35]

Goatse Security daha sonra sızdırılan bilgileri ifşa etmek için uygun bir haber kaynağı bulmaya çalıştı ve Auernheimer iletişime geçmeye çalıştı. Haber Şirketi ve Thomson Reuters yöneticiler dahil Arthur Siskind, AT & T'nin güvenlik sorunları hakkında.[36] 6 Haziran 2010'da Auernheimer, iddialarını doğrulamak için kurtarılan bazı ICC kimliklerini içeren e-postalar gönderdi.[34][36] Bu döneme ait sohbet kayıtları da dikkat ve tanıtımın grup için teşvik edici olabileceğini ortaya koyuyor.[37]

İlk iddia ettiğinin aksine, grup başlangıçta güvenlik açığını ortaya çıkardı. Gawker Media önce AT & T'ye haber vermek[37] ve ayrıca ünlüler, hükümet ve ordu dahil 114.000 iPad kullanıcısının verilerini ifşa etti. Bu taktikler, BT güvenlik kusurlarının doğru bir şekilde ifşa edilmesi konusunda önemli tartışmaları yeniden alevlendirdi.[38]

Auernheimer, Goatse Security'nin yaygın endüstri standardı uygulamalarını kullandığını ve "İyi adamlar olmaya çalıştık" dedi.[38][39] Jennifer Granick of Electronic Frontier Foundation Goatse Security'nin kullandığı taktikleri de savundu.[38]

14 Haziran 2010'da, Michael Arrington nın-nin TechCrunch gruba kamu hizmeti için Crunchie ödülü verdi. Bu, yıllık Crunchies ödül töreni dışında ilk kez bir Crunchie ödülünün verildiği zamandı.[40][41]

FBI daha sonra olayla ilgili soruşturma açtı,[42] Ocak 2011'de suç duyurusuna yol açan[10] ve Auernheimer'ın evine baskın. Arama AT&T soruşturmasıyla ilgiliydi ve daha sonra Auernheimer gözaltına alındı ​​ve kefaletle serbest bırakıldı.[43] eyaletin ilaç ücretleri üzerine,[44] daha sonra düştü.[45] Kefaletle serbest bırakıldıktan sonra, şaka sırası protesto etmek ve evinin aranmasının yasallığına itiraz etmek ve bir eve erişimin reddedilmesi kamu avukatı. Ayrıca aracılığıyla bağış istedi PayPal, yasal masrafları karşılamak için.[16][46] 2011 yılında Adalet Bakanlığı, yetkisiz bir bilgisayara erişmek için bir adet komplo ve bir adet dolandırıcılıkla suçlanacağını duyurdu.[45] Davalı Daniel Spitler kefaletle serbest bırakıldı.[47][48]

20 Kasım 2012'de Auernheimer, bir kimlik dolandırıcılığı suçundan ve izinsiz bir bilgisayara erişmek için yapılan bir komplo suçundan suçlu bulundu.[49] ve tweet attı karara itiraz edeceğini söyledi.[50] Kararda bulunan arkadaşı Alex Pilosov, Auernheimer'ın "en az 90 gün sürecek" cezaya kadar kefaletle serbest kalacağını tweetledi.[51]

29 Kasım 2012'de Auernheimer, Wired Magazine "İfşayı Unutun - Bilgisayar Korsanları Güvenlik Deliklerini Kendilerine Saklamalı" başlıklı, sıfır gün istismarı sadece "sosyal adalet için kullanacak" kişilere.[52]

11 Nisan 2014'te Üçüncü Daire, New Jersey'deki mekanın uygunsuz olduğu gerekçesiyle Auernheimer'ın mahkumiyetini iptal eden bir görüş yayınladı.[53][54] Yargıçlar, site erişiminin yasallığına ilişkin asli soruyu ele almadılar.[55] 11 Nisan günü geç saatlerde hapisten çıktı.[56]

Diğer başarılar

Mayıs 2011'de DoS birkaçını etkileyen güvenlik açığı Linux dağıtımlar, grup uzun bir süreyi keşfettikten sonra Goatse Security tarafından açıklandı. Gelişmiş Paketleme Aracı URL neden olur compize çarpmak.[57]

Eylül 2012'de, Goatse Security, Microsoft çevrimiçi hizmetlerinin güvenliğini sağlamaya yardımcı oldukları için.[9]

Referanslar

  1. ^ Tate, Ryan (9 Haziran 2010). "AT&T, iPad Korkusunu Yaymakla Mücadele Ediyor". Valleywag. Gawker Media. Arşivlenen orijinal 15 Temmuz 2010. Alındı 17 Ekim 2010.
  2. ^ a b c d Kaiser, Leon (19 Ocak 2011). "Röportaj: AT&T iPad İhlalinin Ardından FBI Suçlamaları Hakkında Keçi Güvenliği". DailyTech (Röportaj: Transkript). Mick Jason ile röportaj. Arşivlenen orijinal 31 Mart 2014. Alındı 21 Ocak 2011.
  3. ^ a b c Dowell, Andrew (17 Haziran 2010). "FBI Aramasından Sonra Programcı Gözaltına Alındı". Wall Street Journal. Dow Jones & Company, Inc. Alındı 11 Ekim 2010.
  4. ^ a b c d e "Takım". Keçi Güvenliği. Keçi Güvenliği. 14 Haziran 2010. Alındı 22 Eylül 2010.
  5. ^ a b Chokshi, Niraj (10 Haziran 2010). "İPad Güvenlik Sızıntısını Ortaya Çıkaran Hackerlardan Biriyle Tanışın". Atlantik Okyanusu. Atlantik Aylık Grubu. Alındı 16 Eylül 2010.
  6. ^ Keizer, Gregg (17 Haziran 2010). "iPad hacker'ı FBI aramasından sonra birden fazla uyuşturucu suçlamasıyla tutuklandı". Bilgisayar Dünyası. Computerworld Inc. Alındı 16 Eylül 2010.
  7. ^ Mick, Jason (14 Haziran 2010). "AT&T, iPad Müşterilerinden Özür Diler, Bilgisayar Korsanlarının Yerel Ayarlarını Açıklıyoruz". DailyTech. DailyTech LLC. Alındı 16 Eylül 2010.
  8. ^ a b Bilton, Nick; Wortham Jenna (18 Ocak 2011). "İkisi iPad Güvenlik İhlalinde Dolandırıcılıkla Suçlandı". New York Times. New York Times Şirketi. Alındı 21 Ocak 2011.
  9. ^ a b "Microsoft Çevrimiçi Hizmetler için Güvenlik Araştırmacısı Teşekkürleri". Microsoft. Alındı 19 Ekim 2012.
  10. ^ a b Amerika Birleşik Devletleri Bölge Mahkemesi - New Jersey Bölge Mahkemesi, Belge: MAG 11-4022 (CCC). Mahkemeye dosyalandı 13 Ocak 2011
  11. ^ "Clench," sonsuza kadar SSL PKI'ya "seni mahvetmek" deme şeklimiz. Keçi Güvenliği. Keçi Güvenliği. 8 Eylül 2010. Alındı 29 Ekim 2010.
  12. ^ Lawson, Nate (8 Eylül 2010). "Clench, TLS + SRP'den daha düşüktür". kök laboratuarları rdist. Nate Lawson. Alındı 29 Ekim 2010.
  13. ^ a b Ragan, Steve (10 Haziran 2010). "AT&T, komut dosyası hatası nedeniyle 114.000 e-posta adresini kaybetti". The Tech Herald. WOTR Limited. Arşivlenen orijinal 18 Kasım 2011. Alındı 28 Eylül 2010.
  14. ^ Eunjung Cha, Ariana (12 Haziran 2010). "Apple'ın iPad güvenlik ihlali, mobil cihazların güvenlik açığını ortaya koyuyor". Washington Post. Alındı 6 Nisan 2011.
  15. ^ Kirsch Cassandra (2014). "Gri Şapkalı Hacker: Siber Uzay Gerçeği ile Hukuku Uzlaştırmak" (PDF). Kuzey Kentucky Hukuk İncelemesi. 41: 386.CS1 bakimi: ref = harv (bağlantı)
  16. ^ a b AT&T iPad 'hacker' polislere rant yapmak için şaka emrini bozdu Kayıt John Leyden. 7 Temmuz 2010
  17. ^ Tate, Ryan (10 Haziran 2010). "Apple'ın iPad İhlali Alarmları Artırıyor". Her şey düşünüldü (Röportaj: ses / transkript). Röportaj yapan Melissa Block. Ulusal Halk Radyosu. Alındı 16 Eylül 2010.
  18. ^ http://security.goatse.fr/compiz-denial-of-service-vulnerability
  19. ^ Constantin, Lucian (30 Ocak 2010). "Tüm IRC Ağını Taciz Etmek İçin Kullanılan Firefox Hatası". Softpedia. Softpedia. Alındı 19 Eylül 2010.
  20. ^ Goodin, Dan (30 Ocak 2010). "Firefox tabanlı saldırı, IRC kullanıcılarını kasıp kavuruyor". Kayıt. Durum Yayınlama. Alındı 19 Eylül 2010.
  21. ^ Goodin, Dan (9 Haziran 2010). "Güvenlik gafı seçkin iPad kullanıcılarının adreslerini açığa çıkarıyor". Kayıt. Durum Yayınlama. Alındı 19 Eylül 2010.
  22. ^ a b c Keizer, Gregg (14 Haziran 2010). "AT&T, iPad saldırı tehdidi konusunda 'sahtekâr' diyor hackerlar". Bilgisayar Dünyası. Computerworld Inc. Alındı 18 Eylül 2010.
  23. ^ Ragan, Steve (14 Haziran 2010). "Goatse Security AT & T'ye şöyle diyor: 'Başardın'". The Tech Herald. WOTR Limited. s. 2. Arşivlenen orijinal 3 Ekim 2011. Alındı 6 Ekim 2010.
  24. ^ "CVE-2010-1099". Ulusal Güvenlik Açığı Veritabanı. NIST. 24 Mart 2010. Alındı 6 Ekim 2010.
  25. ^ "CVE-2010-1100". Ulusal Güvenlik Açığı Veritabanı. NIST. 24 Mart 2010. Alındı 6 Ekim 2010.
  26. ^ "CVE-2010-1101". Ulusal Güvenlik Açığı Veritabanı. NIST. 24 Mart 2010. Alındı 6 Ekim 2010.
  27. ^ "CVE-2010-1102". Ulusal Güvenlik Açığı Veritabanı. NIST. 24 Mart 2010. Alındı 6 Ekim 2010.
  28. ^ "CVE-2010-1103". Ulusal Güvenlik Açığı Veritabanı. NIST. 24 Mart 2010. Alındı 6 Ekim 2010.
  29. ^ a b Goldman, David (14 Haziran 2010). "Bilgisayar korsanları iPad'in daha fazla güvenlik açığı olduğunu söylüyor". CNNMoney.com. CNN. Alındı 18 Eylül 2010.
  30. ^ a b c d e Keizer, Gregg (10 Haziran 2010). "'Brute force 'komut dosyası iPad e-posta adreslerini ele geçirdi ". Bilgisayar Dünyası. Computerworld Inc. Alındı 18 Eylül 2010.
  31. ^ Tate, Ryan (9 Haziran 2010). "Apple'ın En Kötü Güvenlik İhlali: 114.000 iPad Sahibi Açığa Çıktı". Valleywag. Gawker Media. Arşivlenen orijinal 26 Temmuz 2010. Alındı 16 Eylül 2010.
  32. ^ Ante, Spencer E. (10 Haziran 2010). "AT&T, iPad Sahibi Verilerinin İhlalini Açıkladı". Wall Street Journal. Dow Jones & Company, Inc. Alındı 26 Eylül 2010.
  33. ^ a b c d Buchanan, Matt (9 Haziran 2010). "AT & T'nin iPad Güvenlik İhlaline Yol Açan Küçük Özellik". Gizmodo. Gawker Media. Alındı 22 Eylül 2010.
  34. ^ a b Cezai Şikayet Arşivlendi 25 Ocak 2011, Wayback Makinesi. Amerika Birleşik Devletleri Bölge Mahkemesi - New Jersey Bölge Mahkemesi, Belge: MAG 11-4022 (CCC). Mahkemeye dosyalandı 13 Ocak 2011
  35. ^ a b Voreacos, David (18 Ocak 2011). "ABD, iPad Kullanıcıları Üzerinden AT&T Sunuculara Girdiği İddia Edilen Ücretleri Açıkladı". Bloomberg.com. Bloomberg L.P. Alındı 21 Ocak 2011.
  36. ^ a b McMillan, Robert (15 Aralık 2010). "AT&T IPad Hacker Medyanın Dikkatini Çekmek İçin Savaştı, Belgeler Gösterisi". bilgisayar Dünyası. PC World Communications, Inc. Alındı 16 Aralık 2010.
  37. ^ a b Foresman, Chris (19 Ocak 2011). "Goatse Security trolleri, AT&T iPad hack'inde" max lols "peşindeydi". Ars Technica. Alındı 22 Ocak 2011.
  38. ^ a b c Worthen, Ben; Spencer E. Ante (14 Haziran 2010). "Bilgisayar Uzmanları Tepkime Karşı Karşıya". WSJ.com.
  39. ^ Leydon, John (7 Temmuz 2010). "AT&T iPad 'hacker' polislere bağırmak için şaka emrini bozdu". Kayıt. Alındı 16 Şubat 2011.
  40. ^ Arrington, Michael (14 Haziran 2010). "Keçi Güvenliğine Kamu Hizmeti İçin Crunchie Ödülü Veriyoruz". Tech Crunch. Alındı 31 Mart, 2010.
  41. ^ Patterson, Ben (14 Haziran 2010). "AT&T, iPad ihlalinden dolayı özür diler, bilgisayar korsanlarını suçluyor". Yahoo! Haberler. Alındı 31 Mart, 2010.
  42. ^ Tate, Ryan (9 Haziran 2010). "Apple'ın En Kötü Güvenlik İhlali: 114.000 iPad Sahibi Açığa Çıktı". Gawker.com. Gawker Media. Arşivlenen orijinal 12 Haziran 2010. Alındı 13 Haziran 2010.
  43. ^ Emspak, Jesse; Perna, Gabriel (17 Haziran 2010). "Tutuklanan Hacker'ın Web Sitesi Aşırılıkçı Görüşleri Açıklıyor". Uluslararası İş Saatleri. Uluslararası İş Saatleri. Alındı 11 Temmuz 2010.
  44. ^ Dowell, Andrew (17 Haziran 2010). "FBI Aramasından Sonra Programcı Gözaltına Alındı". Wall Street Journal.
  45. ^ a b "AT&T iPad saldırganlarına suç duyurusunda bulunuldu - Computerworld". 18 Ocak 2011.
  46. ^ Weev. "Münafıklar ve Ferisiler". Goatse.fr.
  47. ^ Voigt, Kurt (21 Ocak 2011). "İkinci iPad e-posta adresi hırsızlığı şüphelisi için kefalet yok". MSNBC.com. İlişkili basın. Alındı 15 Şubat 2011.
  48. ^ Porter, David (28 Şubat 2011). "NJ'de Kefaletle Açıklanan iPad Veri Hırsızlığındaki Şüpheli". ABC Haberleri. İlişkili basın. Alındı 2 Mart, 2011.
  49. ^ Zetter, Kim (20 Kasım 2012). "Hacker, iPad Müşteri Verilerini Almak İçin AT&T Sitesini İhlal Etmekten Suçlu Bulundu | Tehdit Düzeyi | Wired.com".
  50. ^ "Twitter durumu, 15:38 - 20 Kasım 12".
  51. ^ "Twitter durumu, 15:32 - 20 Kasım 12".
  52. ^ Bierend, Doug (29 Kasım 2012). "Açıklamayı Unutun - Bilgisayar Korsanları Güvenlik Deliklerini Kendilerine Tutmalıdır". Kablolu.
  53. ^ Vaka: 13-1816 Doküman: 003111586090
  54. ^ Kravets, David (11 Nisan 2014). "Temyiz mahkemesi, hacker / troll" weev "mahkumiyet ve cezasını" bozdu. Ars Technica. Alındı 11 Nisan, 2014.
  55. ^ Hill, Kashmir (11 Nisan 2014). "Weev Serbest Bırakıldı, Ama Mahkeme Daha Büyük 'Hacking vs Güvenlik Araştırması' Sorusu Üzerine İddialar Yapıyor". Forbes. Alındı 11 Nisan, 2014.
  56. ^ Voreacos, David (14 Nisan 2014). "AT&T Hacker 'Weev' Partileri ve Case Hala Yaklaşan Tweetler". Bloomberg. Alındı 14 Nisan 2014.
  57. ^ Constantin, Lucian (16 Mayıs 2011). "Tehlikeli Linux Hizmet Reddi Güvenlik Açığı 0 Gün Olarak Açıklandı". Softpedia. Alındı 25 Mart, 2014.

Dış bağlantılar