Een miljoen Apple-ID’s gelekt

Een anonieme post op Pastebin leidt naar een bestand met 1 miljoen Apple UDID’s, de unieke identificaties van Apple’s mobiele systemen.

Een anonieme post op Pastebin leidt naar een bestand met 1 miljoen Apple UDID’s, de unieke identificaties van Apple’s mobiele systemen.

In de post wordt van leer getrokken tegen de Amerikaanse ordedienst FBI omwille van de “hypocriete” aanpak van hackers. Immers, enerzijds worden die vervolgd door de FBI, maar tegelijk worden ze aangezocht om te helpen bij “de uitvoering van hun politieke agenda.”

Om een en ander wat smeuïger te maken, wordt ook wat ‘snoepgoed’ (‘candy’) geboden in de vorm van een bestand met een miljoen Apple Unique Device IDentifiers (UDID’s) met gefilterde bijkomende informatie. Dat zou een subset zijn van een bestand met ongeveer 12 miljoen UDID’s, dat zou zijn gevonden op een in maart 2012 verloren machine van een FBI agent (Supervisor Special Agent Christopher K. Stangl van het FBI Regional Cyber Action Team en het New York FBI Office Evidence Response Team, aldus de posters). Het bestand zou op zijn beurt afkomstig kunnen zijn van de ‘National Cyber-Forensics & Training Alliance’, een vzw die “sinds 1997 een brede alliantie tussen ervaringsdeskundigen in de publieke en private sectoren (meer dan 500 wereldwijd) heft opgezet, met het oog op de aanpak van complexe en vaak internationaal van oorsprong zijnde cybermisdaden.”

De posters willen met dit alles aanklagen dat de FBI allicht gebruikers van die toestellen kan traceren en dus wederrechterlijk bespioneren.

Apple UDID’s op terugweg Apple UDID’s kunnen door app-ontwikkelaars worden aangewend om het gebruik van hun toepassingen op te volgen, en hebben onder meer groot belang voor adverteerders op die systemen. Dat leidde vorig jaar al tot toenemende klachten inzake vermeende en reële privacy-inbreuken, en de beslissing van Apple om ontwikkelaars de toegang tot die UDID te verbieden. Ontwikkelaars worden aanbevolen “een unieke identifier voor uw app te creëren” (iOS5). Begin dit jaar is het bedrijf zelfs begonnen met het weigeren van apps die toegang zoeken tot de UDID, omwille van groeiende druk van de overheid en van privacy-organisaties. Het leidde tevens tot ontwikkelingen als OpenUDID en SecureUDID, twee opensourceoplossingen voor ontwikkelaars die zo toch op een privacyveilige wijze van de UDID gebruik konden maken.

Ondertussen is duidelijk dat Apple aan een alternatief voor de UDID werkt. Dat werd nogmaals bevestigd op de recente Apple WorldWide Developers Conference, zonder evenwel in details te treden. Volgens de Wall Street Journal zou de hardware-specifieke identifier worden vervangen door een vorm van tagging, los van het toestel.

De fundamentele tweespalt blijft evenwel het conflict tussen de belangen van de eindgebruiker – die vreest in zijn of haar gedrag en gebruik van een toestel te worden getraceerd – en de commerciële belangen van app-bouwers en adverteerders. Door het verdoken gebruik van middelen om gebruikers te traceren hebben deze laatsten sowieso heel wat krediet verloren. Om niet te spreken over het wantrouwen van gebruikers ten opzichte van misbruik door overheden en ordediensten. Enkel reële en controleerbare transparantie bij het downloaden, installeren en gebruik van toepassingen en toestellen, met procedures die voorzien in een uitdrukkelijke en geïnformeerde instemming van de gebruiker voor het gebruik van gegevens die door de app (of door het gebruik van het toestel worden ingewonnen, bijvoorbeeld door de serviceprovider), kan uiteindelijk hieraan verhelpen – zo kunnen de adviezen worden samengevat.