Karmaiseva nettihyökkäys selvittää missä uhri asuu

Samy Kamkar -nimisen hakkerin kehittämässä hyökkäyksessä käytettiin hyväksi turva-aukkoja, joiden avulla selvitettiin tietokoneen reitittimessä oleva tunnistenumero. Tunnistenumero eli MAC-osoite on ysilöllinen tunniste, jolla verkkolaite voidaan tunnistaa verkossa. Hyökkäyksessä käytettiin selville saatua MAC-osoitetta ja netistä löytyviä sovelluksia reitittimen paikallistamiseen.

Monet asioivat verkossa reitittimen kautta ja tyypillisesti vain reitittimeen suoraan kytketty laite voi saada selville sen ID-tiedot. Kamkar kuitenkin keksi tavan, jolla verkkosivun voi ansoittaa ja tiedot saada selaimen kautta siten, että ID-tietojen pyyntö näyttäisi tulevan uhrin omalta koneelta.

Tämän jälkeen Kamkar yhdisti saamansa MAC-osoitetiedot Googlen Street View -autojen keräämän, yksityisten ihmisten wlan-verkkotietokannan kanssa. Tietokannassa on linkitetty reitittimien MAC-osoitteita GPS-koordinaatteihin.

Kamkar onnistui hyökkäyksensä avulla paikallistamaan uhrin osoitteen jopa yhdeksän metrin tarkkuudella sen oikeasta sijainnista.

- Tämä on pahasti pieleen mennyttä paikannusta. Yksityisyys on kuollut. Olen pahoillani, totesi Kamkar esittelyssään.

F-Secure: Karmiva ajatus

Myös tietoturvayhtiö F-Securen asiantuntija Mikko Hyppönen osallistui Kamkarin tilaisuuteen Black Hat -hakkeritapahtumassa. Hänen mukaansa esitys oli erittäin kiinnostava.

- Ajatus siitä, että joku netissä voi saada tietoonsa tarkasti missä olet, on melko karmaisevaa, Hyppönen toteaa.

- Tällaista hyökkäystä käytettäisiin kohdennetuissa hyökkäyksissä tai väijyttäessä yksittäistä henkilöä.

Hyppösen mukaan hyökkäys korostaa, että Googlen kaltaisilla yhtiöillä on tärkeä vastuu keräämiensä tietojen turvaamisessa.

Vuonna 2005 Samy Kamkar kehitteli tietokonemadon, joka käytti hyväksi nettiselainten tietoturva-aukkoja saadakseen yli miljoona "ystävää" MySpace -yhteisöpalvelusivuille yhdessä päivässä. Kamkar sai syytteet krakkeroinnistaan, ja hänet tuomittiin kolmen vuoden ehdonalaiseen vankeustuomioon, 90 päivän yhdyskuntapalveluun ja korvauksiin. Häntä myös kiellettiin käyttämästä nettiä henkilökohtaisiin tarkoituksiin määrittelemättömäksi ajaksi.

BBC: Web attack knows where you live