Aναταραχή επικρατεί στους δικτυακούς κύκλους καθώς η ομάδα ακτιβιστών χάκερ AntiSec δημοσίευσε στο διαδίκτυο 1.000.001 UDID από συσκευές της Apple ενώ δήλωσε πως στην κατοχή της έχει συνολικά περισσότερα από 12.000.000 UDID μαζί με τα στοιχεία των κατόχων τους καθώς και push notification tokens. Η υπόθεση αποκτά ενδιαφέρον καθώς εμπλέκεται και το FBI.
Οι AntiSec ισχυρίζονται πως βρήκαν την λίστα στο φορητό υπολογιστή ενός πράκτορα του FBI, στον οποίο απόκτησαν παράνομη πρόσβαση εκμεταλλευόμενοι ένα κενό ασφαλείας της Java.
Εδώ ξεκινούν τα ερωτήματα. Γιατί ένας πράκτορας του FBI είχε πρόσβαση σε αυτή τη λίστα; Προφανώς 12.000.000 χρήστες είναι πολλοί για να έχει για όλους ένταλμα παρακολούθησης.
Το επόμενο ερώτημα, είναι που βρήκε αυτή τη λίστα. Πιθανολογείται πως μπορεί να του την έδωσε κάποια εταιρεία που έχει πρόσβαση τουλάχιστον σε τόσες συσκευές χρηστών, μια εταιρεία που μάλλον φτιάχνει μια δημοφιλή εφαρμογή για το iPhone. Μια άλλη περίπτωση, δεδομένου των ευαίσθητων στοιχείων που περιλαμβάνουν, θα ήταν τα δεδομένα να είναι προϊόν υποκλοπής, το οποίο είναι περισσότερο ανησυχητικό.
Το FBI πάντως σε ανακοίνωσή του, αρνείται πως είχε οποιαδήποτε σχέση με τα δεδομένα που διέρρευσαν.
Ευθύνες όμως φέρει και η Apple, που παρά τις προειδοποιήσεις χρησιμοποίησε τα UDID με αυτόν τον τρόπο στις συσκευές iOS και ενθάρρυνε την χρήση τους. Ωστόσο η Apple έχει ξεκινήσει τις διαδικασίες για την απομάκρυνση του UDID από το 2011 και στο iOS 5 θεωρούνται deprecated (δηλαδή παραμένουν για λόγους συμβατότητας αλλά στο μέλλον θα καταργηθούν).
Τέλος, μεγάλο μερίδιο ευθύνης πέφτει σε εταιρείες που χρησιμοποιούν τα UDID για δουλειές για τις οποίες δεν φτιάχτηκαν, όπως πιστοποίηση των χρηστών. Σημαντικό παράδειγμα αποτελεί το OpenFeint, η δημοφιλής υπηρεσία που αποθηκεύει online τα σκορ για πάρα πολλά παιχνίδια του iOS αλλά και του Android. Το OpenFeint χρησιμοποιούσε μέχρι πριν λίγο καιρό τα UDID για να πιστοποιήσει τους χρήστες που δεν έχουν φτιάξει δικό τους account.
Οι κίνδυνοι από αυτή την διαρροή διαφέρουν από χρήστη σε χρήστη. Κάποιοι δεν θα επηρεαστούν καθόλου, κάποιοι κινδυνεύουν να δουν δεδομένα τους στα χέρια τρίτων ενώ οι πιο άτυχοι κινδυνεύουν να χάσουν τα account τους σε διάφορες σελίδες, όπως το twitter και το facebook. Κάποιοι ίσως δεχθούν και push notifications στις συσκευές τους από υπηρεσίες που δεν έχουν εγκρίνει, ενώ άλλοι ίσως δουν μέχρι και την τοποθεσία τους στο χάρτη να φτάνει στα χέρια τρίτων.
Οι ερευνητές ασφαλείας προειδοποιούν εδώ και καιρό για τους κινδύνους που επιφέρουν τεχνικές όπως το UDID αλλά τόσο οι εταιρείες λογισμικού όσο και η Apple τους αγνοούν σε μεγάλο βαθμό.
Οι AntiSec δικαιολογούν την πράξη τους από το γεγονός πως οι δημοσιογράφοι και οι χρήστες δεν δίνουν ιδιαίτερη σημασία στα ευρήματα και τις προειδοποιήσεις τους για τους κινδύνους που διατρέχουν. Τώρα όμως θεωρούν πως θα αναγκαστούν να ενδιαφερθούν.
