2012年9月 《UDID罗生门》

 

UDID罗生门——2012年9月安全天下事

 

江海客（seak@antiy.com）

本月的热点事件是AnonymousLeaks 1M Apple Device UDIDs——著名黑客组织Anonymous宣布在AntiSec行动中入侵了FBI的电脑，获取到并公布了一批苹果用户移动设备的UDID及其他信息。

Anonymous对事件的细节进行了如下说明：

在2012年3月的第二周，Anonymous曾利用Java Atomic Reference Array漏洞入侵FBI区域网络行动小组和纽约的FBI办公室的证据响应小组高级探员Christopher K. Stangl的电脑。在他参与会话过程中，一些文件从电脑桌面上一个名为“NCFTA_iOS_devices_intel.csv”的文件被下载，形成了一个包含12,367,232台Apple iOS设备的列表，列表内容有：UDID（唯一设备识别码）、用户名、设备名、设备型号、苹果推送通知服务令牌、邮政编码、手机号码和地址等个人信息。

Anonymous公布了100多万个 UDID及对应的苹果推送通知服务令牌、设备名称和型号信息，以证明其确实获取了相关数据。并宣称其目的不是针对苹果用户展开攻击，而是为了让苹果用户或是更多人意识到FBI正利用这些信息追踪公民动态。

这个消息引发了轩然大波。

次日，FBI迅速对此事予以了坚决地否认，他们表示：“目前没有任何证据表明FBI有笔记本电脑被入侵；FBI从未收集过苹果用户的私人信息。”

苹果也在次日声明从未向FBI提供过用户信息。

随后，佛罗里达州一家名为BlueToad的应用出版公司出面向NBC证实，被泄露的苹果设备UDID是黑客从自己的数据库中盗取的。该公司技术人员对比了泄露UDID与公司UDID列表，发现二者吻合度高达98%。

尽管此事看似可以结案，但我们还是能发现，相关的合理性推导还缺少必要的细节。除了这份已经被公开的数据之外，目前各方均系自说自话。例如，有人质疑BlueToad是不是一个“顶雷者”。因为BlueToad没有提供足够充分的细节。而即便BlueToad的数据比对结果是真的，也只是说明了数据初始来源；由于他们没有提供发生攻击和获取信息这一链条的电子证据和分析佐证，因此并不能说明Anonymous的数据就是从BlueToad直接获取的（即可能确实是BlueToad的数据，但Anonymous从其他地方攻击获取到了）。在这一点上，FBI也没有对Anonymous披露的细节进行回应，比如是否确实有这样一名探员、这个人自己如何做出解释等。

Anonymous的推导也并不严密：即使这些数据真的来自FBI的电脑，也并不能说明FBI就使用了这些信息；这份信息也可能是FBI调查某次网络攻击的物证，包括是FBI探员的个人行为等。

因此，在没有更多细节和证据的情况下，此事只能是一场隐私罗生门。

最近一段时间以来，关于智能手机及其盈利模式对用户隐私侵害问题的讨论一直没有停止，手机制造商、OS厂商、应用开发商等纷纷进入黑名单。自由软件运动领袖Richard Stallman则把矛头直指国家和政府，他认为手机可以让国家了解用户的位置，并随时进行跟踪。当他发现移动手机能跟踪携带者的位置后，宁愿牺牲方便也要保护个人隐私和安全。他更为笃定地认为“现代移动电话的实现方式在道德伦理上是不可接受的，因为它们根本就是监视和跟踪设备。”