S3 Ep106: Näotuvastus ilma nõusolekuta – kas see tuleks keelata?

Klõpsake ja lohistage allolevatel helilainetel mis tahes punkti hüppamiseks. Sa saad ka kuula otse Soundcloudis.

---

DOUG.  Krüptoloogia, politseinike häkkimine, Apple'i värskendused ja… kaartide loendamine!

Kõik see ja palju muud – Naked Security taskuhäälingusaates.

[MUUSIKAMODEEM]

Tere tulemast podcasti, kõik.

Mina olen Doug Aamoth; ta on Paul Ducklin.

Paul, kuidas sul täna läheb?

---

PART.  Ma olen väga hästi, tänan, Douglas.

Ja ma ootan väga põnevusega kaartide lugemist, muu hulgas seetõttu, et see ei puuduta ainult loendamist, vaid ka kaartide segamist.

---

DOUG.  Hea küll, väga hea, ootan põnevusega!

Ja meie tehnikaajaloo segmendis räägime millestki, mis polnud juhuslik – see oli väga kalkuleeritud.

Sel nädalal, 25. oktoobril 2001, anti jaemüügiks Windows XP.

See oli üles ehitatud Windows NT operatsioonisüsteemile ja XP asendas nii Windows 2000 kui ka Windows Millennium Editioni vastavalt "XP Professional Edition" ja "XP Home Edition".

XP Home oli esimene Windowsi tarbijaversioon, mis ei põhine MS-DOS-il ega Windows 95 tuumal.

Ja isiklikult mulle meeldis see.

Võib-olla ma lihtsalt mäletan lihtsamaid aegu... Ma ei tea, kas see oli tegelikult nii hea, kui ma seda mäletan, aga ma mäletan, et see oli parem kui see, mis meil varem oli.

---

PART.  Olen sellega nõus.

Ma arvan, et teil on seal mõned roosades toonides prillid, Doug…

---

DOUG.  Umm-hmmm.

---

PART.  …aga ma pean nõustuma, et see oli edasiminek.

---

DOUG.  Räägime natuke comeuppance'ist, täpsemalt, comeuppance for soovimatu näotuvastus Prantsusmaal:

Clearview AI kujutisi kraapides näotuvastusteenus sai Prantsusmaal 20 miljoni euro suuruse trahvi

---

PART.  Tõepoolest!

Regulaarsed kuulajad teavad, et meil on räägitakse ettevõte nimega Clearview AI palju kordi, sest minu arvates on aus öelda, et see ettevõte on vastuoluline.

Prantsuse reguleeriv asutus avaldab väga abivalmilt oma otsused või on avaldanud vähemalt oma Clearviewi otsused nii prantsuse kui ka inglise keeles.

Põhimõtteliselt kirjeldavad nad seda järgmiselt:

Clearview AI kogub fotosid paljudelt veebisaitidelt, sealhulgas sotsiaalmeediast. See kogub kõik fotod, mis on nendes võrkudes otse juurdepääsetavad. Seega on ettevõte kogunud üle 20 miljardi pildi üle maailma.

Tänu sellele kollektsioonile turundab ettevõte juurdepääsu oma pildiandmebaasile otsingumootori kujul, millest on võimalik foto abil inimene leida. Ettevõte pakub seda teenust õiguskaitseorganitele.

Ja Prantsusmaa reguleeriva asutuse vastuväide, mida eelmisel aastal kordas ka vähemalt Ühendkuningriik ja Austraalia reguleeriv asutus, on järgmine: „Me peame seda oma riigis ebaseaduslikuks. Sel ärilisel eesmärgil ei tohi inimeste pilte kraapida ilma nende nõusolekuta. Ja te ei järgi ka GDPR-i reegleid, andmete hävitamise reegleid, mistõttu on neil lihtne teiega ühendust võtta ja öelda: "Ma tahan loobuda".

Nii et esiteks tuleks see lubada, kui soovite seda käivitada.

Ja kui olete kraami kokku kogunud, ei tohiks te sellest kinni jääda isegi pärast seda, kui nad tahavad veenduda, et nende andmed on eemaldatud.

Ja Prantsusmaa, Doug, probleem on selles, et eelmise aasta detsembris ütles regulaator: "Vabandust, te ei saa seda teha. Lõpetage andmete kraapimine ja vabanege sellest, mis teil Prantsusmaal on. Tänan teid väga."

Ilmselt ei tundunud reguleerija sõnul Clearview AI lihtsalt tahtvat järgida.

---

DOUG.  Oi-oi!

---

PART.  Nüüd tulid prantslased tagasi ja ütlesid: "Tundub, et te ei taha kuulata. Tundub, et sa ei saa aru, et see on seadus. Nüüd kehtib sama, kuid peate maksma ka 20 miljonit eurot. Tänan, et tulid."

---

DOUG.  Meil on artikli kohta mõned kommentaarid valmimas... tahaksime kuulda, mida arvate; kommenteerida saab anonüümselt.

Täpsemalt on meie küsimused järgmised: „Kas Clearview AI pakub õiguskaitsele tõesti kasulikku ja sotsiaalselt vastuvõetavat teenust? Või tallab see juhuslikult meie privaatsust jalge alla, kogudes biomeetrilisi andmeid ebaseaduslikult ja turustades neid ilma nõusolekuta uurimise jälgimise eesmärgil?

Olgu, jäägem selle comeuppance'i teema juurde ja räägime natuke sellest DEADBOLTi pakkumine kurjategijad.

See on huvitav lugu, mis hõlmab õiguskaitset ja häkkimist!

Kui politseinikud tagasi häkivad: Hollandi politsei jagab DEADBOLTi kurjategijaid (seaduslikult!)

---

PART.  Müts maha politseinike ees selle eest, kuigi, nagu me selgitame, oli see omamoodi ühekordne asi.

Püsikuulajatele jääb DEADBOLT meelde – see on paar korda ette tulnud.

DEADBOLT on lunavararühm, kes põhimõtteliselt leiab teie võrguga ühendatud salvestusserveri (NAS), kui olete kodukasutaja või väikeettevõte…

…ja kui see pole haavatavuse vastu, mida nad oskavad ära kasutada, tulevad nad sisse ja segavad lihtsalt teie NAS-i kasti.

Nad arvasid, et seal on kõik teie varukoopiad, kõik teie suured failid ja kõik teie olulised asjad.

„Ärgem muretsegem selle pärast, et peame kirjutama pahavara Windowsile ja pahavara Macile, ega muretsege, mis versioon teil on. Me läheme otse sisse, segame teie failid ja ütleme siis: "Makske meile 600 dollarit".

See on praegune kurss: 0.03 bitcoini, kui te ei pahanda.

Seega kasutavad nad tarbijale orienteeritud lähenemisviisi, püüdes tabada paljusid inimesi ja küsida iga kord mõnevõrra taskukohast summat.

Ja ma arvan, et kui kõik, mis teil on, on sinna salvestatud, võite tunda: "Tead mida? 600 dollarit on palju raha, aga ma saan seda endale peaaegu lubada. Ma maksan ära."

Asjade lihtsustamiseks (ja me oleme vastumeelselt öelnud, et see on selle konkreetse lunavara nutikas osa, kui soovite) ... põhimõtteliselt ütlete petturitele, et olete huvitatud, saates neile Bitcoini plokiahela kaudu sõnumi. .

Põhimõtteliselt maksate neile raha kindlaksmääratud, teile ainulaadsele Bitcoini aadressile.

Kui nad saavad makseteate, saadavad nad tagasi 0 dollari suuruse makse, mis sisaldab kommentaari, mis on dekrüpteerimisvõti.

Nii et see on *ainus* suhtlus, mida nad teiega vajavad.

Nad ei pea kasutama e-posti ja nad ei pea käitama tumedaid veebiservereid.

Hollandi politseinikud leidsid aga, et kelmid olid teinud protokolliga seotud vea!

Niipea, kui teie tehing tabab Bitcoini ökosüsteemi ja otsib kedagi selle kaevandamiseks, saadab nende skript dekrüpteerimisvõtme.

Ja selgub, et kuigi bitcoine topelt kulutada ei saa (muidu laguneks süsteem laiali), saab korraga teha kaks tehingut, ühe kõrge tehingutasuga ja teise väga madala või null tehingutasuga.

Ja arvake ära, millise bitcoini kaevandajad ja lõpuks bitcoini plokiahel aktsepteerivad?

Ja seda politseinikud tegid...

---

DOUG.  [NAERAB] Väga tark, mulle meeldib!

---

PART.  Nad jätavad makse nulli tehingutasuga, mille töötlemiseks võib kuluda päevi.

Ja siis, niipea, kui nad said kelmide käest dekrüpteerimisvõtme tagasi (ma arvan, et neil oli 155 kasutajat, kellega nad omamoodi klubisse läksid)… niipea, kui nad said dekrüpteerimisvõtme tagasi, tegid nad topeltkulu tehingu.

"Ma tahan sama Bitcoini uuesti kulutada, kuid seekord maksame selle endale tagasi. Ja nüüd pakume mõistlikku tehingutasu.

Nii et see tehing oli see, mis lõpuks tegelikult kinnitati ja lukustati plokiahelasse…

…ja teist lihtsalt ignoreeriti ja visati minema… [NAERAB] nagu alati, ei tohiks naerda!

---

DOUG.  [NAERAB]

---

PART.  Nii et põhimõtteliselt maksid kelmid liiga vara välja.

Ja ma arvan, et see ei ole *reetmine*, kui olete õiguskaitseorganid ja teete seda seaduslikult tagatud viisil... see on põhimõtteliselt *lõks*.

Ja kelmid astusid sinna sisse.

Nagu ma alguses mainisin, saab see toimida ainult ühe korra, sest muidugi mõtlesid kelmid: "Oh, kallis, me ei peaks seda nii tegema. Muudame protokolli. Ootame enne tehingu kinnitamist plokiahelasse ja siis, kui teame, et keegi ei saa tulla tehinguga, mis selle hiljem üle trumpab, alles siis saadame välja dekrüpteerimisvõtme.

---

PART.  Kuid kelmid jäid 155 dekrüpteerimisvõtme peale lamedaks 13 erineva riigi ohvritelt, kes kutsusid appi Hollandi politsei.

Niisiis, chapeau [Prantsuse rattasläng, mis tähendab "mütsi mahavõtmist"], nagu öeldakse!

---

DOUG.  See on suurepärane… see on kaks positiivset lugu järjest.

Ja jätkame selle järgmise looga positiivseid vibratsioone.

See räägib naistest krüptoloogias.

Neid on au andnud USA postiteenistus, kes tähistab Teise maailmasõja koodimurdjaid.

Räägi meile sellest kõigest – see on a väga huvitav lugu, Paul:

Naised krüptoloogias – USPS tähistab WW2 koodimurdjaid

---

PART.  Jah, see oli üks neist toredatest asjadest, millest Naked Security'is kirjutada: Naised krüptoloogias – Ameerika Ühendriikide postiteenistus tähistab Teise maailmasõja koodimurdjaid.

Nüüd oleme käsitlenud Bletchley Parki koodimurdmist, mis on Ühendkuningriigi krüptograafilised jõupingutused Teise maailmasõja ajal, peamiselt selleks, et proovida murda natside šifreid, näiteks tuntud Enigma masinat.

Kuid nagu võite ette kujutada, seisis USA silmitsi Vaikse ookeani sõjateatri tohutu probleemiga, püüdes tegeleda Jaapani šifritega ja eriti ühe šifriga, mida tuntakse kui PURPLE.

Erinevalt natside Enigmast ei olnud see kaubanduslik seade, mida saaks osta.

See oli tegelikult omakasvatatud masin, mis tuli välja sõjaväest, mis põhines telefoni lülitusreleedel, mis, kui järele mõelda, on omamoodi "base kümne" lülitid.

Niisiis, samal viisil Bletchley park Ühendkuningriigis töötas salaja rohkem kui 10,000 10,000 inimest... Ma ei saanud sellest aru, kuid selgus, et USA-s värvati krüptoloogiasse ja krüptograafilisse krakkimisse kõvasti üle XNUMX XNUMX naise, kes proovisid sõja ajal Jaapani šifritega hakkama saada.

Kõigi eelduste kohaselt olid need ülimalt edukad.

1940. aastate alguses tegi üks USA krüptoloog Genevieve Grotjan krüptograafilisest läbimurdest ja ilmselt tõi see Jaapani saladuste lugemisel kaasa suurejoonelise edu.

Ja ma tsiteerin lihtsalt USA postiteenistust nende margisarjast:

Nad dešifreerisid Jaapani laevastiku sidet, aitasid takistada Saksa allveelaevadel elutähtsaid kaubalaevu uputamast ja töötasid selle nimel, et murda krüpteerimissüsteemid, mis paljastasid Jaapani laevateid ja diplomaatilisi sõnumeid.

Võite ette kujutada, et see annab teile tõesti väga-väga kasutatavat luureandmeid… ja peate eeldama, et see aitas sõda lühendada.

Õnneks, kuigi jaapanlasi hoiatasid (ilmselt natsid), et nende šifr on purunev või juba purunenud, keeldusid nad seda uskumast ja kasutasid kogu sõja vältel LILLAT.

Ja tolleaegsed naiskrüptoloogid tegid heina kindlasti salaja, kui päike paistis.

Kahjuks just nagu juhtus Ühendkuningriigis kõigi sõjaaegsete kangelastega (jällegi enamik neist naistest) Bletchley Parkis…

… pärast sõda vannutati nad saladust hoidma.

Nii et kulus palju aastakümneid, kuni nad üldse tunnustuse pälvisid, rääkimata sellest, mida võiks nimetada kangelase vastuvõtuks, mille nad 1945. aastal rahu puhkedes sisuliselt ära teenisid.

---

DOUG.  Vau, see on lahe lugu.

Ja kahju, et tunnustuse saamine nii kaua aega võttis, aga tore, et nad selle lõpuks said.

Ja ma soovitan kõigil, kes seda kuulavad, saidile seda lugeda.

Seda nimetatakse: Naised krüptoloogias – USPS tähistab Teise maailmasõja koodimurdjaid.

Väga hea tükk!

---

PART.  Muide, Doug, postmargiseeriatele, mida saate osta (mälestusseeria, kust saate margid täis lehel)… postmarkide ümber on USPS tegelikult pannud väikese krüptograafilise pusle, mida oleme kordanud artiklit.

See pole nii keeruline kui Enigma või PURPLE, nii et saate seda teha üsna lihtsalt pliiatsi ja paberiga, kuid see on hea mälestuslõbu.

Nii et tulge kohale ja proovige, kui soovite.

Samuti oleme pannud lingi artiklile, mille kirjutasime paar aastat tagasi (Mida 2000 aastat krüptograafiat meile õpetada võib), millest leiate näpunäiteid, mis aitavad lahendada USPS-i krüptomõistatust.

Mõnusat meenutust!

---

DOUG.  Olgu, jäägem siis natukene juhuslikkuse ja krüptograafia juurde ning esitame küsimuse, mis võib-olla mõnele on varemgi mõelnud.

Kuidas juhuslik kas need automaatsed kaardisegajad, mida võite kasiinos näha?

Tõsine turvalisus: kui juhuslikult (või mitte) saate kaarte segada?

---

PART.  Jah, veel üks põnev lugu, mille sain tänu krüptograafiagurule Bruce Schneierile, kes sellest kirjutas tema enda blogisja ta pealkirjastas oma artikli Automaatsete kaardisegajate juhuslikkusest.

Paber, millest me räägime, ulatub minu arvates 2013. aastasse ja tehtud töö ulatub 2000. aastate algusesse.

Kuid see, mis mind selle loo juures võlus ja tekitas soovi seda jagada, on see, et sellel on uskumatuid õpetlikke hetki inimestele, kes on praegu programmeerimisega seotud, olgu siis krüptograafia valdkonnas või mitte.

Ja mis veelgi olulisem, testimisel ja kvaliteedi tagamisel.

Sest erinevalt jaapanlastest, kes keeldusid uskumast, et nende LILLA šifr ei pruugi korralikult töötada, on see lugu ettevõttest, mis valmistas automaatseid kaardisegamismasinaid, kuid mõtles: "Kas need on tõesti piisavalt head?"

Või saaks keegi tegelikult aru, kuidas nad töötavad, ja saaks eelise sellest, et nad pole piisavalt juhuslikud?

Ja nii nad tegid kõik endast oleneva, et palgata Californiast kolm matemaatikut, kellest üks on ka vilunud mustkunstnik…

…ja nad ütlesid: "Me ehitasime selle masina. Me arvame, et see on piisavalt juhuslik, ühe kaartide segamisega.

Nende enda insenerid olid teinud kõik endast oleneva, et välja töötada katsed, mis nende arvates näitaksid, kas masin on kaartide segamise eesmärgil piisavalt juhuslik, kuid nad tahtsid teist arvamust ja seetõttu nad läksid välja ja said selle.

Ja need matemaatikud vaatasid, kuidas masin töötas, ja suutsid, uskuge või mitte, välja mõelda nn suletud valemi.

Nad analüüsisid seda täielikult: kuidas asi käitub ja seega milliseid statistilisi järeldusi nad saaksid teha selle kohta, kuidas kaardid välja tulevad.

Nad avastasid, et kuigi segatud kaardid läbivad märkimisväärse hulga häid juhuslikkuse teste, oli kaartides pärast segamist siiski piisavalt palju katkematuid jadasid, mis võimaldasid neil ennustada järgmist kaarti kaks korda suurema tõenäosusega.

Ja nad suutsid näidata arutluskäiku, mille abil nad suutsid välja mõelda oma vaimse algoritmi järgmise kaardi äraarvamiseks kaks korda nii hästi, kui peaks…

...nii et nad ei teinud seda mitte ainult usaldusväärselt ja korratavalt, vaid neil oli tegelikult ka matemaatika, et näidata valemiga, miks see nii oli.

Ja lugu on võib-olla kõige kuulsam nende palkanud ettevõtte presidendi maalähedase, kuid igati sobiva vastuse poolest.

Ta olevat öelnud:

Me ei ole teie järeldustega rahul, kuid me usume neid ja selleks me teid palkasime.

Teisisõnu ütleb ta: "Ma ei maksnud selle eest, et mind õnnelikuks teha. Ma maksin faktide väljaselgitamise ja nende alusel tegutsemise eest.

Kui vaid rohkem inimesi teeks seda oma tarkvara testide väljatöötamisel!

Kuna on lihtne luua testide komplekt, mille teie toode läbib ja mille ebaõnnestumise korral teate, et midagi on kindlasti valesti läinud.

Kuid on üllatavalt raske välja pakkuda testide komplekti, mis oleksid *toote läbimist väärt*.

Ja seda see ettevõte tegigi, palkades matemaatikud, et uurida, kuidas kaardisegamismasin töötab.

Päris palju elulisi õppetunde, Doug!

---

DOUG.  See on lõbus lugu ja väga huvitav.

Nüüd räägime igal nädalal üldiselt mõnest Apple'i värskendusest, kuid mitte sel nädalal.

Ei ei!

Sel nädalal oleme sain sulle... Apple *megauuendus*:

Apple'i megauuendus: Ventura out, iOS-i ja iPadi tuuma nullpäev – tegutse kohe!

---

PART.  Kahjuks, kui teil on iPhone või iPad, hõlmab värskendus praegu aktiivselt ärakasutatud nullpäeva, mis, nagu alati, lõhnab jailbreak / täieliku nuhkvara ülevõtmise järele.

Ja nagu alati, ja võib-olla arusaadavalt, on Apple väga ettevaatlik selles osas, mis täpselt on nullpäev, milleks seda kasutatakse ja, mis sama huvitav, kes seda kasutab.

Nii et kui teil on iPhone või iPad, on see *kindlasti* teie jaoks.

Ja segadusse ajades, Doug…

Ma parem selgitan seda, sest see ei olnud alguses ilmselge... ja tänu lugejate abile tänan Stefaani Belgiast, kes on saatnud mulle ekraanipilte ja selgitanud, mis temaga iPadi värskendamisel täpselt juhtus!

iPhone'ide ja iPadide värskendus ütles: "Teil on iOS 16.1 ja iPadOS 16". (Kuna iPad OS-i versioon 16 hilines.)

Ja nii öeldakse turvabülletäänis.

Värskenduse installimisel kuvatakse põhiekraanil Teave lihtsalt „iPadOS 16”.

Kui aga suumite põhiversiooni ekraanile, tulevad mõlemad versioonid välja kui "iOS/iPadOS 16.1".

See on *uuendus* versioonile 16 ja see oluline nullpäeva parandus.

See on raske ja segane osa… ülejäänu on lihtsalt see, et ka teiste platvormide jaoks on palju parandusi.

Välja arvatud see, kuna Ventura tuli välja – macOS 13, 112 CVE-numbriga plaastriga, kuigi enamiku inimeste jaoks pole neil beetaversiooni olnud, nii et see on *uuendus* ja *värskendus* samal ajal...

Kuna macOS 13 tuli välja, jätab macOS 10 Catalina maha kolm versiooni.

Ja tundub, et Apple toetab alles nüüd eelmist ja eelnevat.

Nii et Big Suri ja Monterey jaoks on *värskendused, see on macOS 11 ja macOS 12, kuid Catalina on kurikuulsalt puudu, Doug.

Ja tüütu nagu alati, mida me ei saa teile öelda…

Kas see tähendab, et see oli kõigi nende paranduste suhtes immuunne?

Kas see tähendab, et tegelikult vajab see vähemalt osa parandusi, kuid need pole lihtsalt veel välja tulnud?

Või tähendab see, et see on maailma äärelt maha jäänud ja te ei saa enam kunagi värskendust, olenemata sellest, kas see vajab seda või mitte?

Me ei tea.

---

DOUG.  Ma tunnen end närviliselt ja ma ei teinud isegi selle loo rasket tõstmist, nii et tänan teid selle eest… seda on palju.

---

PART.  Ja teil pole isegi iPhone'i.

---

DOUG.  Täpselt!

Mul on iPad…

---

PART.  Oh, eks?

---

DOUG.  ...nii et ma pean minema ja veenduma, et saan selle ajakohaseks.

Ja see viib meid meie lugejate päevaküsimuseni Apple'i loo kohta.

Anonüümne kommenteerija küsib:

Kas iPadi 15.7 värskendus lahendab selle või pean värskendama versioonile 16? Ootan enne värskendamist, kuni 16. väiksemad häirivad vead on lahendatud.

---

PART.  See on sellest põhjustatud segaduse teine ​​tase, kui soovite.

Nüüd saan aru, et kui iPadOS 15.7 välja tuli, oli see täpselt samal ajal kui iOS 15.7.

Ja see oli, mis, veidi rohkem kui kuu tagasi, ma arvan?

Nii et see on vanaaegne turvavärskendus.

Ja mida me praegu ei tea, on…

Kas iOS/iPadOS 15.7.1 on endiselt tiibades, mis pole veel välja tulnud ja parandab turvaaugud, mis on nende platvormide operatsioonisüsteemide eelmises versioonis olemas?

Või kas teie iOS-i ja iPadOS-i turvavärskenduste värskendustee läheb nüüd versiooni 16 juurde?

Ma lihtsalt ei tea ja ma ei tea, kuidas sa seda ütled.

Nii et see näib olevat (ja mul on kahju, kui ma tundun segaduses, Doug, sest ma olen!)…

Tundub, et iOS-i ja iPadOS 15.7 kasutajate *värskendus* ja *uuenduse* tee nihkub versioonile 16.

Ja praegusel ajal tähendab see 16.1.

See oleks minu soovitus, sest siis teate vähemalt, et teil on uusim ja parim versioon koos uusimate ja parimate turvaparandustega.

Nii et see on pikk vastus.

Lühike vastus on Doug: "Ei tea."

---

DOUG.  Selge kui muda.

---

PART.  Jah.

Noh, võib-olla pole see nii selge… [NAER]

Kui jätate muda piisavalt kauaks, settivad killud lõpuks põhja ja peal on selge vesi.

Nii et võib-olla peate seda tegema: ootama ja vaatama või lihtsalt hammustama ja minema 16.1-le.

Nad teevad selle lihtsaks, kas pole? [NAERAB]

---

DOUG.  Hea küll, me hoiame sellel silma peal, sest see võib praeguse ja järgmise korra vahel veidi muutuda.

Tänan teid väga selle kommentaari saatmise eest, anonüümne kommenteerija.

Kui teil on huvitav lugu, kommentaar või küsimus, mille soovite esitada, loeksime seda hea meelega taskuhäälingusaates.

Võite saata e-posti aadressil tips@sophos.com, saate kommenteerida mõnda meie artiklit ja võite meid tabada suhtlusvõrgustikus @NakedSecurity.

See on meie tänane saade, tänan teid kuulamast.

Paul Ducklini jaoks olen mina Doug Aamoth, tuletan teile kuni järgmise korrani meelde, et…

---

MÕlemad.  Ole turvaline!