Firma łamiąca zabezpieczenia iPhone’ów pozywa b. pracownika – o złamanie zabezpieczeń

Magnet Forensics, kanadyjski podmiot specjalizujący się w produkcji narzędzi do łamania mechanizmów zabezpieczających iPhone’ów oraz innych urządzeń firmy Apple, wytoczył ciężkie działa prawne przeciwko swemu byłemu współpracownikowi – pozywając zarówno rzeczonego, jak i firmę, z którą miał on współpracować już po swoim odejściu. Magnet zarzuca im przy tym to samo, co w istocie stanowi clou jego własnego modelu biznesowego: nieautoryzowany dostęp do chronionych zasobów i wykorzystanie luk w zabezpieczeniach dla własnych celów.

Pozwani, o których mowa, to niejaki Mario del Gaudio, a także hiszpańska firma Paradigm Shift Technology S.L., z którą miał on nawiązać współpracę po odejściu z Magneta, a która działa w dokładnie tej samej dziedzinie – łamania zabezpieczeń urządzeń elektronicznych. Powództwo dotyczy rzekomego wycieku tajemnicy handlowej związanej z nieznanym wcześniej błędem w dziedzinie zabezpieczeń – tzw. zero-day flaw – w procesorach A12 i A13 firmy Apple, czyli układach zasilających egzemplarze iPhone’ów XS, XR, 11 oraz 11 Pro, produkowanych w latach 2018-2021.

Dostęp do danych na sprzedaż – tych cudzych

Dzięki lukom w zabezpieczeniach telefonów z tym błędem, Magnet był w stanie – za pomocą exploita o nazwie usbliter8, korzystającego z podatność w SecureROM, tj. niezmiennym kodzie procesora – hakować iPhone’y i dokonywać ekstrakcji danych na rzecz swoich płacących mocodawców. Przede wszystkim – rozmaitych instytucji rządowych zainteresowanych przejęciem prywatnych danych z iPhone’ów, których właściciele traktowali jako właśnie prywatne. Ze względu na to, że SecureROM jest wgrywany na poziomie hardware’u w toku produkcji, luki takiej nie sposób załatać za pomocą aktualizacji software’u.

Usbliter8 nie jest przy tym pierwszym takim błędem, jaki pojawił się w układach produkowanych przez Apple. Już w 2019 roku ujawniono exploita nazwanego checkm8 – tj. lukę w BootROM dotykającą układów A5 do A11, która również nie mogła zostać załatana za pomocą aktualizacji software’u. Usbliter8 stanowi jego odpowiednika w przypadku nowszych generacji chipów, choć jak zauważają niektórzy, A14 i nowsze układy są odporne na ten konkretny atak dzięki poprawionej konfiguracji DART (Device Address Resolution Table) i mechanizmom takim jak Pointer Authentication Codes (PAC).

Złamanie zabezpieczeń takich telefonów wymaga przez to fizycznego dostępu do urządzenia w trybie DFU (Device Firmware Update – tj. trybie awaryjnym o najwyższym poziomie dostępu) oraz specjalistycznego sprzętu – co sprawia, że praktyczne zagrożenie dla telefonu przeciętnego użytkownika, które mogliby powodować hakerzy, jest niewielka. Niestety, nie stanowi to natomiast problemu dla firm takich jak Magnet Forensics, które sprzedają dostęp do takich exploitów. Firma zarabiała zatem na łamaniu prywatności indywidualnych użytkowników – póki jej zadowolenia nie zakłóciła konkurencja.

Błędy Apple – naszą *własnością intelektualną*

Jak zarzucają zapisy pozwu, który Magnet skierował do amerykańskiego sądu federalnego w stanie Georgia, Mario del Gaudio, pracując jako inżynier ds. exploitów iOS, przez miesiące opracowywał techniczne rozwiązania związane z luką w A12/A13. Zdaniem firmy, miał swoją wiedzę dyskretnie przekazać firmie Paradigm Shift, która opublikowała szczegóły tej luki na swoim blogu firmowym. Tym samym pozbawiając Magnet jego drogocennego i lukratywnego monopolu – nie wspominając już o tym, że przy okazji także demaskując metody działania podmiotów handlujących exploitami.

Jak twierdzą adwokaci Magnet Forensics, del Gaudio miał w ten sposób nie tylko złamać zapisy umowy o zachowaniu poufności (non-disclosure agreement), ale też dopuścić się naruszenia kapitału intelektualnego firmy – ta bowiem zdaje się traktować błędy popełnione przez programistów Apple’a jako swoją własność, o wymiernej wartości rynkowej oraz . Nie jest ona zresztą osamotniona w tym procederze: firmy takie jak, przykładowo, Cellebrite czy Grayshift (twórca GrayKey, przejęty przez Magnet w 2023 roku) od lat konkurują z Apple i wykorzystują błędy jego software’u, zanim zostaną one naprawione (skądinąd ku agresywnej reakcji Apple’a, zajadłe broniącej swej technologicznej kontroli).

Ze swej strony Paradigm Shift, pomimo kierowanych przez Magnet wezwań do usunięcia publikacji, utrzymuje ją publicznie dostępną. Argumentuje, że jej celem jest poprawa powszechnej świadomości zagrożeń hakerskich i cybernetycznych. Paradigm miała też poinformować Apple Product Security o pozyskanych przez siebie informacjach. Magnet zarzuca jej, że czyniąc to, naraziła ją na straty finansowe i trwały uszczerbek dla jej modelu biznesowego. Jeśli bowiem Apple zdołałaby załatać lukę, exploity Magneta przestałyby się tak dobrze (o ile w ogóle) sprzedawać.

Hipokryzjo, twe imię to…

Naprawa błędu zagrażającego bezpieczeństwu tysięcy użytkowników iPhone’ów ma być zatem „szkodą dla interesów handlowych” korzystającej na tym błędzie firmy. A gdzie w tym wszystkim etyka? Pytanie to jest tu o tyle uzasadnione, że branża cyberszpiegostwa na rzecz rządów i organów państwowych lubi prezentować się jako „etyczne” hakerstwo. Co jednak w tym takiego etycznego? W istocie trudno przecież doszukać się w niej czegoś, co radykalnie odróżniałoby je od „tradycyjnej” cyberprzestępczości – z wyjątkiem naturalnie beneficjenta, którym w tym pierwszym przypadku są państwa.

Magnet Forensics w swym PR-rze i komunikacji publicznej przedstawia uskutecznianą przez siebie aktywność w sposób nieomal egzaltowany, łamanie zabezpieczeń telefonów oraz prywatności ich użytkowników prezentując jako nieledwie element sprawiedliwości dziejowej, rzekomo na korzyść ofiar przestępczości. Brak jednak choćby słowa, czy jej działalność przyniosła udokumentowany pożytek jakiejkolwiek osobie poszkodowanej w wyniku przestępstw – a nie tylko płacącym firmie agencjom szpiegowskim i policyjnym.

Kradzież danych na rzecz państwa to zaś w dalszym ciągu kradzież. Nawet jeśli owo państwo, z egoistycznych względów i działając jako sędzia we własnej sprawie, taką kradzież jednostronnie zalegalizuje. Oczywiście kwestia etyki wydaje się jeszcze bardziej zagmatwana, gdy ofiarą naruszenia bezpieczeństwa informacji staje się sama firma, która w owym naruszaniu się wyspecjalizowała. Zagmatwana, ale i jak bardzo ironiczna.