Von kompromittierten FBI-Rechnern: Hacker veröffentlichen eine Million iPhone-UDIDs [Update]

Update 13:30: Die Webseite Kimosabe.net bietet ein Test-Werkzeug an, über das geprüft werden kann, ob eure UDID unter den heute veröffentlichten war. Frederic Jacobs sammelt derweil Informationen zu den eingesetzten Applikationen um die Quelle der Veröffentlichung ausfindig zu machen.

Mehr als eine Million iPhone-UDIDs hat die Hacker-Gruppe AntiSec im Laufe der Nacht veröffentlicht und bietet die eindeutigen Geräte-Kennnummern hier zum Download an. Apple selbst hatte die registrierten iOS-Entwickler bereits im August 2011 dazu aufgefordert die UDIDs nicht mehr einzusetzen. Nach anhaltender Kritik wollte Cupertino ausschließen, einzelne iPhone-Nutzer über mehrere Applikationen hinweg zu identifizieren.

Die UDID – der Geräte-spezifische Fingerabdruck lässt sich unter anderem in iTunes einsehen – diente Entwicklern zur Verwaltung spezifischer Endgeräte und erlaubte die einfache Zuordnung von Benutzer-Accounts und iPhones. Vor allem Abo-Angebote die einen kostenlosen 2-Wochen Test anbieten, lasen in der Vergangenheit regelmäßig die UDID eures iPhones aus.

Seit heute lassen sich eine Million der 12 Zeichen langen UDIDs aus dem Netz laden. Nach Aussagen der Hacker-Gruppe wurden die Unique Device-IDs in der zweiten März Woche 2012 vom Dell-Notebook eines FBI-Mitarbeiters der Regional Cyber Action Teams New York entwendet.

[…] during the shell session some files were downloaded from his Desktop folder one of them with the name of „NCFTA_iOS_devices_intel.csv“ turned to be a list of 12,367,232 Apple iOS devices including Unique Device Identifiers (UDID), user names, name of device, type of device, Apple Push Notification Service tokens, zipcodes, cellphone numbers, addresses, etc.

Die UDIDs ermöglichen unter anderem die Nutzer-Zuordnung in Spiele-Netzwerken wie Open Feint, werden von zahlreichen Online-Diensten ausgelesen und wurden von Apple vor allem wegen ihrer datenschutztechnischen Implikationen zurückgezogen, wie diese Tabelle vom 9. September 2011 zeigt.

Demnach setzten viele Dienste-Anbieter zur Nutzer-Identifikation ausschließlich auf dem vom iPhone übertragene UDID und erlauben Fremden sowohl den Login als auch das Ändern von Nutzerdaten mit dem 12 Ziffern langen schlüssel.

5 of the 7 networks allow an attacker to log in as a user using only their UDID, giving the attacker complete control of the user’s account.

[…]

The outcome of this experiment shows that social gaming networks systematically misuse UDIDs, resulting in serious privacy breaches for their users. All the networks I tested allowed UDIDs to be linked to potentially identifying user information, ranging from usernames to email addresses, friends lists and private messages.