回归最本质的信息安全

;

电话也能越狱,由Securus服务器被黑客入侵而引发的电话追踪事件

2018年5月24日发布

41,489
1
3

导语:为警方提供实时追踪电话的Securus公司现遭到了黑客攻击,根据黑客向Motherboard的爆料,他们至少盗窃了包含有2800个登录名和弱加密密码的用户信息名单。其中一些密码已经被破解。

1 (2).jpg

为警方提供实时追踪电话的Securus公司现遭到了黑客攻击,根据黑客向Motherboard的爆料,他们至少盗窃了包含有2800个登录名和弱加密密码的用户信息名单。其中一些密码已经被破解。Motherboard表示,为了证实该网络攻击的事实,他们还对一些登录名进行了登录测试。

Securus的业务模式

据了解,Securus是美国一家监狱科技公司。它专门向美国监狱中囚犯提供电话服务,也推出过控制违禁手机的系统,阻止违禁手机接入移动网络和进行呼叫。自成立以来Securus已经收购20多项政府服务。

纽约时报今年5月曾对Securus进行了报道,它可以在几秒钟追踪到美国所有电话的具体位置。目前,美国四大移动运营商AT&A、Verizon、T-Mobile和Sprint都被曝向Securus出售客户实时位置数据。

值得一提的是,在Securus事件中 ,一个叫做LocationSmart的公司也被曝光了。LocationSmart是美国四大运营商的合作伙伴,得益于这种合作关系,Securus可以向执法部门等机构实时提供移动设备定位数据。而要获取客户地理位置数据,就需要LocationSmart的配合了。

民主党参议员Ron Wyden就曾公开指责,LocationSmart跟Securus的组合就是美国隐私法最大的漏洞。因为按着法律程序,警方等执法机构虽然可以直接向电信运营商索要设备位置信息,但手续非常繁杂。与其这么麻烦又没有效率,还不如通过执法机构的合作伙伴Securus来解决这个问题。整个数据泄露过程大概如下:

1.执法机构向Securus提出要跟踪的手机;

2.Securus将目标信息提供给LocationSmart ,再由LocationSmart进行定位跟踪;

3.LocationSmart将跟踪的信息卖给Securus;

4.最后再由第三方转手卖给执法机构。

这恰恰是Securus在LocationSmart的帮助下,充当政府与运营商之间的中间人,整个过程,执法机构都不需要出示搜查令或其他法律文书。

据外媒BGR援引《纽约时报》报道称,目前Securus允许警察追踪任何美国民众的号码,没有合法检查来阻止其被滥用。

而LocationSmart也自称是全球最大的定位服务公司,可以从美国和加拿大所有主要电信商公司获得资讯,覆盖率高达95%,可以非常快速的找到任何一支手机的位置。为了证明这项服务有效,该公司最近推出了服务免费试用活动,只要你输入想定位的电话号码,且该号码对其收到的信息回复“同意”,手机位置便会立即返回给你。

2.jpg

根据《纽约时报》的报道,密西西比县一名前警长也曾利用Securus服务追踪他人手机,甚至还追踪其它官员,追踪没有得到法院的许可。

虽然目前尚不清楚有多少人正在使用Securus的电话定位服务,但这一消息仍然令人难以置信,作为向执法机构提供监管权的公司,其安全防护竟然如此脆弱。不过可以确定许多用户可能在监狱工作,因为一些用户被Securus标记为“监狱管理员”、“监狱长”和“副监狱长”。在其网站的产品介绍上,Securus将“产品定位服务”定位于监狱,因为它们的产品可以帮助监狱的工作人员随时监控犯人的通话。

攻击过程还原

攻击Securus的黑客向Motherboard提供了几份看似是执法机构的内部跟踪人名单,这份名单包含了从2011年到现在的2800多个用户名、email地址、电话号码、哈希密码等信息。其中哈希是对一段数据加密处理而形成的杂乱字符串,这意味着公司不需要自己存储密码。但哈希是使用安全系数很低的MD5算法创建的,这意味着攻击者可以很轻易破解用户的真实密码。

3.jpg

这些泄露的用户都是来自美国政府机构,包括警局、县级或市级执法部门的一些跟踪和调查目标,受影响的城市包括明尼阿波利斯,凤凰城,印第安纳波利斯等等。这些数据还包括Securus员工以及使用个人电子邮件地址的用户,暂时不能确定他们是否隶属政府机构。

为了验证这些数据的真实性,Motherboard通过使用Securus网站的密码重置功能来验证。在使用黑客提供的用户名和电子邮件地址时,密码重置会显示这些信息是正确的。

即使在GPS关闭的情况下,Securus也能追踪呼叫设备的位置。Electronic Frontier Foundation的律师Andrew Crocker在电话采访中告诉Motherboard:

Securus无需许可证即可进行定位追踪,并允许其执法机构在未经审查的情况下获取此服务,这非常危险。一是Securus被滥用的危险,一是Securus被黑客攻击后数据泄露的危险。

Securus并非首次遭到网络攻击

360截图164101248911684.jpg

2015年11月, Securus就遭到网络攻击,据悉,被盗窃的通话记录,让人们开始担心律师与其客户之间的保密协议问题。据披露,泄露的文件包括了7000多万个电话记录,它们来自美国37个不同的州。在这些电话记录中,有14000则是囚犯跟其律师的对话。虽然囚犯的电话记录都要被录音,但他们跟律师的对话则不在录音范围内,并且很多时候,正是因为这一部分通话被拦截后导致案件最终走向发生转变。

而此次的黑客攻击事件,则再次说明,Securus不但不会保护犯人的隐私,就连其自身的安全防护也烂的一塌糊涂。目前,Securus还没有对此次事件作出回应。

总结

由此引发的思考是,Securus与LocationSmart的这些行为,产生于隐私法非常严格的美国。我想可能是而就是因为隐私法让执法机构的取证相当困难,所以执法机构才会想出这样间接的方式,获取原本规定不可随意外漏的个人资料,而当初被起诉的警长,目前也未获罪。

本文翻译自:https://motherboard.vice.com/en_us/article/gykgv9/securus-phone-tracking-company-hacked如若转载,请注明原文地址: http://www.4hou.com/info/news/11768.html

点赞 3
取消

感谢您的支持,我会继续努力的!

扫码支持

打开微信扫一扫后点击右上角即可分享哟

xiaohui

嘶吼编辑

发私信

发表评论

    大樹森生 2018-05-24 16:59

    我只看看不说话