UDID-Panne: Daten kommen von amerikanischem Publisher
Eine grandiose Analyse. Die auf die Sicherheit mobiler Geräte spezialisierte Firma Intrepidus Group hat sich noch mal ausführlich mit den mehr als einer Million UDIDs beschäftigt, die im Laufe der vergangenen Woche ihren Weg ins Netz fanden (ifun.de berichtete) und – so der begleitenden Text damals – als FBI-Datensatz identifiziert worden waren.
Intrepidus-Mitarbeiter und „long-time security professional“ David Schuetz hat den Datensatz nach doppelten und mehrfach eingetragenen Geräte Kennungen durchsucht und ist dabei auf eine Handvoll Geräte gestoßen, die sich nach weiteren Recherchen eindeutig dem Publisher BlueToad zuordnen ließen.
Wir empfehlen euch die Beschreibung der systematischen Analyse nachzulesen, der Forensik-Bericht hat schon fast einen leichten Krimi-Einschlag, kürzen die Geschichte jedoch ab. Der Datensatz kommt nicht vom FBI sondern vom Verlagshaus BlueToad. Von Intrepidus auf die gefundenen Firmen-Hinweise angesprochen – iPad-Namen wie „Bluetoad Support“, „Bluetoad iPad“, „Client iPad BT“ und mehrere Geräte mit den eindeutigen Namen der Geschäftsführer brachten den Ball ins Rollen – hat der BlueToad-Vorstand den Daten-Diebstahl im Hausblog inzwischen eingeräumt und eine Stellungnahme veröffentlicht.
A little more than a week ago, BlueToad was the victim of a criminal cyber attack, which resulted in the theft of Apple UDIDs from our systems. Shortly thereafter, an unknown group posted these UDIDs on the Internet. At BlueToad, we understand the importance of protecting the safety and security of information contained on our systems. […] We have fixed the vulnerability and are working around the clock to ensure that a security breach doesn’t happen again. In doing so, we have engaged an independent and nationally-recognized security assurance company to assist in our ongoing efforts.
Der US-Nachrichtensender MSNBC bietet auf seiner Webseite ein erstes Interview mit dem BlueToad CEO Paul DeHart an, hat den Clip jedoch nur im Flash-Format vorliegen.
Eine Moral zur Geschichte lässt sich derzeit noch nicht anbieten. Apple hat die iOS-Entwickler bereits vor Monaten dazu aufgefordert die eindeutigen Geräte-Kennungen nicht mehr zu verwenden um so das Tracking einzelner Nutzer über mehrere Applikationen hinweg auszuschließen und wird das Auslesen der UDIDs unter iOS 6 wohl komplett unmöglich machen. Daten-Sammlungen wie das Bluetoad-Archiv dürften in den Hinterzimmern ausgewählter App-Entwickler jedoch zu Hauf herumliegen und könnten uns irgendwann um die Ohren fliegen.