TikTok, Uber ve X için ID doğrulama hizmeti ehliyetleri açığa çıkardı

 (404media.co)
1 puan yazan GN⁺ 2024-06-28 | 1 yorum | WhatsApp'ta paylaş
  • TikTok, Uber ve X’in kimlik doğrulamasını yürüten AU10TIX, yönetim amaçlı kimlik bilgilerini bir yıldan uzun süre çevrimiçi açık bırakarak kullanıcıların hassas verilerine erişim riski doğurdu
  • Bu hizmet; yüz fotoğrafları, ehliyet görselleri, gerçek zamanlı video tabanlı liveness detection ve fotoğraf tabanlı yaş tahmini gibi yüksek riskli kimlik doğrulama verilerini işliyor
  • 404 Media’nın elde ettiği ekran görüntüleri ve verilere göre, açığa çıkan kimlik bilgileriyle bir hacker’ın hassas verilere erişmiş olması mümkün
  • AU10TIX sitesinde ayrıca Fiverr, PayPal, Coinbase, LinkedIn ve Upwork logoları da yer alıyor; bazı şirketler mevcut veya geçmiş müşteri ilişkisini doğruluyor
  • Sosyal ağlar ve porno sitelerinde kimlik ve yaş doğrulama talepleri yaygınlaştıkça, doğrulama hizmeti sağlayıcıları bizzat saldırı hedefi haline gelebilir

AU10TIX’in yönetim kimlik bilgilerinin açığa çıkması

  • İsrail merkezli AU10TIX, TikTok, Uber ve X kullanıcılarının kimliğini doğrulayan hizmetler sunuyor
  • 404 Media’nın elde ettiği ekran görüntüleri ve verilere göre bazı yönetim kimlik bilgileri bir yıldan uzun süre çevrimiçi açıktı
  • Söz konusu kimlik bilgileri, kullanıcı yüz fotoğrafları ve ehliyet görselleri gibi hassas verilere erişime yol açmış olabilir

Kimlik doğrulama sürecinde işlenen veriler

  • AU10TIX, kendi web sitesinde “full-service identity verification solutions” sunduğunu belirtiyor
  • Hizmetin işlediği unsurlar şunlar
    • Kullanıcının kimlik belgesi doğrulaması
    • Kullanıcıyla gerçek zamanlı video akışı üzerinden liveness detection
    • Yüklenen fotoğraflara dayalı yaş doğrulaması

Müşteri olarak gösterilen şirketler

  • AU10TIX sitesinde TikTok, Uber ve X dışında çeşitli şirketlerin logoları da gösteriliyor
  • Gösterilen şirketler arasında Fiverr, PayPal, Coinbase, LinkedIn ve Upwork bulunuyor
  • Bunlardan bazıları, 404 Media’ya şu anda veya geçmişte AU10TIX müşterisi olduklarını doğruladı

Araştırmacının paylaştığı kanıtların kapsamı

  • Bir siber güvenlik araştırmacısının bulgusu, ID doğrulama hizmetlerinin kendisinin de hack hedefi olabileceğini ortaya koydu
  • Söz konusu araştırmacı doğrulama amacıyla 404 Media’ya ekran görüntüleri ve bazı veriler sağladı, bunun dışında verileri dağıtmadı

Kimlik ve yaş doğrulamasının yaygınlaşmasının doğurduğu risk

  • Daha fazla sosyal ağ ve porno sitesi, kullanıcıların gerçek kimlik belgelerini yüklemesini isteyen kimlik veya yaş doğrulama modellerine geçiyor
  • Bu ifşa, böyle bir eğilim içinde doğrulama hizmeti sağlayıcılarının hassas kullanıcı verilerinin toplandığı bir odak noktası haline gelebileceğini gösteriyor

İlgili okumalar

1 yorum

 
GN⁺ 2024-06-28
Hacker News yorumları

  • Şirket, kimlik bilgilerinin sızdığını 18 ay önce tespit edip önlem aldığını iddia etti; ancak sızan kimlik bilgilerinin bir ay öncesine kadar hâlâ çalıştığı söyleniyor.
    Bu alandaki tedarikçilerin yönetişimi ve seviyesi gerçekten genelde bu kadar mı, merak ediyorum. Dev bir şirketin, kimlik bilgilerinin kullanıldığı bir iki tuhaf yeri gözden kaçırabileceğini hayal edebilirim; ama güvenin merkezde olduğu tek bir işi yapan bir tedarikçiden farklı bir şey beklerim.
    İç yetkinlikleri eksik olsa bile böyle bir şirketin sigortası olduğunu, sigorta şirketinin de bu önlemlerin gerçekten tamamlandığını doğrulatmak için uzmanlar görevlendireceğini düşünürdüm; bunun bir yanılgı olup olmadığını bilmiyorum.

    • Bu, yüksek güven gerektiren bir iş değil. Bu tür tedarikçiler çoğu zaman, tüketiciyle doğrudan ilişkisi olan kuruluşların bir ihlal olduğunda sorumluluğu bir kademe uzağa itebilmesi için var; bir anlamda sorumluluk dış kaynak şirketleri.
    • Doğru, çok yaygın. Bu tür işlerin neredeyse hiçbir zaman somut sonucu olmuyor.
    • Kopyaları neden sakladıklarını merak ediyorum. Kontrol edip doğruladıklarını bilmek yeterli; sonrasında silmeleri gerekir.
      Kopya tutmak için hiçbir neden yok; en azından kamuya açık bilgi olmayan kritik kısımları maskelemeleri gerekirdi. Gerçekten aptalca.
    • Onlar güvenilir ya da güvenli bir iş yapan bir şirket değil; ürününü büyütmeye çalışan sıradan bir yazılım şirketinden ibaret.
      İdeal dünyada sigorta şirketinin uzman görevlendirip düzgün şekilde önlem aldırması doğru olurdu; ama gerçek hayatta sigorta şirketlerinin binlerce müşterisi var, bu yüzden temel uyum kontrolünün ötesinde somut güvence vermeleri imkânsız. Erişim hakları ve kimlik bilgisi yönetimi, iyi kadrolu güvenlik ekipleri için bile zor bir sorun; tek bir uyum denetçisinin halletmesi ise daha da zor.

  • Uber’den verilerimi silmesini istedim, ama kaba bir şekilde telefonu yüzüme kapattılar. Konuyu CEO’ya kadar taşıyınca, neden silemediklerini açıklayan ve veri sızıntısı endişelerimin “temelsiz” olduğunu söyleyerek beni rahatlatmaya çalışan bir mesaj gönderdiler.
    Uber Support’tan Maribel olduğunu söyleyerek, silme talebimi yeniden incelediklerini ancak güvenlik önlemleri nedeniyle hesabımdaki tüm bilgileri silemeyeceklerini belirtti ve Privacy Notice içindeki “E. Data retention and deletion” bölümüne bakmamı söyledi. 12 Mayıs 2024 itibarıyla hesabın silinmek üzere işaretlendiğini; sürücü hesabının silinmesinin kalıcı olduğunu, yolcu hesabının da otomatik silineceğini ve kredilerin de kaybolacağını söyledi.
    Ayrıca platformda kişisel bilgileri ve güvenliği korumaya yönelik sıkı güvenlik önlemleri bulunduğunu vurguladı.

    • “Platformda sıkı güvenlik önlemleri var, bu yüzden kişisel bilgileriniz ve güvenliğiniz garanti altında” gibi iddiaların gerçekten hukuki sorumluluk doğurması gerektiğini düşünüyorum.
      Birincisi, güvenliği en önemli öncelik gibi ima ediyorlar; ama gerçekte muhtemelen kendilerini hukuken korumaya yetecek asgari yönergeleri izliyorlar, yani bu fiilen yalan olabilir.
      İkincisi, veri güvenliğini garanti etmek fiziksel olarak imkânsızdır. Bir çocuğa asla ölmeyeceğine söz vermek gibi. Güvenlik ihlali, kapatıp unutabileceğiniz bir kapı değil; bir olasılık meselesidir. Şirketlerin güvenlik konusunda mutlak garanti vermesine izin veren bir toplum, kendini tehlikeye atıyor.
      Yeni Ashley Madison belgeselini izledikten sonra bende daha güçlü kalan şey şu: Gerçek güvenlik için neredeyse hiç çaba harcamadan sahte güvenlik sertifikaları üretmişlerdi ve kapatma seçeneği varken kullanıcı verileri üzerinden chicken game oynadılar. Hacker’lar tehdidi uygulamaya koyarsa ödülün de elbette uçup gideceği bir durumdu; bu yüzden açgözlülüğün çok net bir örneğiydi. Sonuçlar ve intiharlar konusunda ciddi sorumluluğun hukuken CEO’ya yüklenmesi gerekirdi.
    • Üstelik Avrupa’da GDPR bunu gerektirdiği için, tüm bilgilerinizi silebilirler.

  • Elbette verileri sızdırdılar. Deneyimli bir teknoloji uzmanı, bunun en başından böyle sonuçlanacağını görürdü.
    Bir gün teknolojiden biraz anlayan, ilkeli ve tecrübeli bir avukat öfkelenecek ve bu şirketlerden birine ağır ihmalin bedelini gerçekten ödetecek.
    Sonra diğer şirketler, paramparça olmuş o şirkete bakıp sorumluluktan kaçmak için yasa çıkarmaya çalışacak; ama bazıları pervasızlık partisinin bittiğine karar verip daha sorumlu ve yetkin davranmaları gerektiğini hissedecek.

    • Sorun, sızıntıların hiçbir sonucu olmaması. Bir şirket müşteri verilerini teslim ettiğinde müşterilere otomatik tazminat ödenmeli.
    • Çeşitli nedenlerle Mercury’de banka hesabı açmaya başlamıştım, sonra başka bir sağlayıcı kullanmaya karar verdim.
      Başvuruyu tamamlamayacağımı söyleyip pasaport bilgilerimi silmelerini istedim; ilk başta silme talebi kısmını görmezden geldiler. Tekrar verilerimi silmelerini isteyince KYC yasalarını öne sürdüler ve verilerin elbette güvenli biçimde saklandığını söyleyerek beni rahatlatmaya çalıştılar.
      O noktada vazgeçtim. Mücadele etsem belki sildirebilirdim; belki de elleri bağlıydı; belki de mücadele ettiğim için bilgilerim kara para aklama riski olarak işaretlenecekti. Ama tam olarak böyle bir sızıntıyı hayal etmiştim.
      Verilerimi elinde bulunduran mağdur tedarikçi yalnızca onlar değil ve bu ihlal de ilk değil; ama en çok canımı yakan o olay oldu.
      Bir anekdot olarak, aylardır ilk kez SMS spam’i yağıyor. Birilerinin yeni sızan verileri tarayıp aktif numaraları bulmaya çalıştığını düşünmekten başka çare yok.
    • Teknolojiden anlayan ilkeli bir avukat olarak söylüyorum: Böyle bir şey olmayacak.
      1. Büyük olasılıkla bu ağır ihmal değildir. Ağır ihmal, olağan özen standardından aşırı sapma anlamına gelir; burada olağan standart ise güvenliğin berbat olması gibi görünüyor.
        Yasayla bir özen standardı belirleyip bu tür olayları ağır ihmal haline getirebilirsiniz, ama henüz böyle yapılmadı. Zaten bu kişilerin kime karşı özen yükümlülüğü taşıdığı da net değil; bu olmadan ihmalin oluşması mümkün değil. Bunu da sonsuza kadar tartışmak istemiyorsanız mevzuatla düzeltmek gerekir.
      2. Zararların neredeyse tamamı varsayımsal. Asıl mesele, gerçek zararın ne olduğu ve değerini ne kadar kanıtlayabildiğinizdir. HN’de insanlar X’in ya da Y’nin şu kadar değerli olduğunu söylemeyi sever, ama gerçek kayıp olarak neyi kanıtlayabilirsiniz?
        Kişisel bilgilerin gelecekte çalınabileceği gibi varsayımsal kayıpların değerini tartışmak eğlenceli olabilir; ama çoğu dava gerçek kayıplarla ilgilenir.
        Gerçekten hesaplamak çok zorsa çoğu zaman kanuni tazminata gidilir; ama burada o da henüz yok. Çok fazla yasal düzenleme yapılmadıkça, mevcut toplu davalar ve 5 dolarlık kuponlar dışında hiçbir şey olmayacak.
    • Artık herhangi bir şirketin elindeki kişisel bilgilerimin yakında sızacağını varsaymak epey güvenli.
    • Tüm sektörümüz çürümüş durumda ve yaptığımız pek çok şeyi kökten yeniden düşünmemiz gerekiyor. Bu kabul edilemez ve bu kadar zor olmamalı. Bedel ödeme anına ihtiyacımız var.

  • Bu aşamadaki güvenlik tiyatrosu döngüsü şöyle

    1. Ne pahasına olursa olsun özellik geliştirilir, aşırı veri toplanır, güvenlik ihmal edilir
    2. Hacker içeri girer ve kolayca erişilebilen tüm verileri alıp götürür. Kredi kartı numaraları, sosyal güvenlik numaraları, operasyonel kimlik bilgileri, şirketin müşterileri hakkında neden oluşturduğu belli olmayan cinsel yönelim tahminleri, şirketin tüm maaş kayıtları, CEO’nun kız arkadaşının Instagram kimlik bilgileri derken bir de tuvalete sıçıp çıkar
    3. Haber örtbas edilmeye çalışılır
    4. /r/leaks’i okuyan Kazakistanlı bağımsız bir gazeteci ifşa eder
    5. “Kısa süre önce kötü niyetli bir kişinin rastgele bir test sunucusundaki bazı loglara eriştiğini tespit ettik. Hay aksi! Şu ana kadar fiili kullanım kanıtı bulamadık. İçiniz rahat olsun, güvenlik bizim en büyük önceliğimizdir. ACME corp’ta güvenliği seviyoruz. Ekibimiz özel ‘security’ tişörtleri giyer ve her perşembe güvenlik tanrısı Glombo’ya dua eder. Müşterilerimize bir jest olarak herkese ‘security+’ paketinin 2 haftalık ücretsiz denemesini sunuyoruz. Deneme sonrası aylık $15.99, iptal etmeyi unutmayın. Bir kez daha, verileriniz bizimle güvende; gönül rahatlığıyla uyuyun!”
    6. 6 ay sonra bir stajyer, parolaları base64 ile şifreleyen yeni bir parola yönetim sistemi geliştirip güvenlik açığını yarım yamalak kapatır
    7. Kimse umursamadığı için 1. adıma dönülür
    • Harika yazıya kusur bulmak istemem ama özellikle daha “seçkin” kâr amacı güden şirketlerin tercih ettiği 5.a) maddesini eklemek gerek: sızıntının sorumluluğunu müşteriye yıkmak. Örneğin 23andMe

  • Müşteri listesine bakınca şaşırdım: eToro, Coinbase, Payoneer [1]
    Bilgilerimin sızıp sızmadığını kontrol etmenin bir yolu var mı? Ehliyet fotoğrafı bazı eyalet yasalarında biyometrik bilgi sayılmalı gibi geliyor
    [1] https://www.au10tix.com
    [2] https://www.huschblackwell.com/2023-state-biometric-privacy-...

    • Yanılıyor olabilirim ama ehliyet kimlik numarasının da biyometrik bilgi gizliliği yasalarından önceki yasalarda zaten koruma kapsamında olduğunu sanıyorum

  • Tüm bunlar bana Orwellvari bir kâbus gibi geliyor. TikTok veya X gibi hizmetlerin en başta kimlik doğrulaması istememesi gerektiğini düşünüyorum
    Bu karmaşa, bunun neden kötü bir fikir olduğunu gösteren diğer sebepleri yalnızca daha da vurguluyor

    • Birçok eyalet sosyal medyada yaş doğrulaması gerektiren yasalar çıkardı ve bunun uygulama biçimi de bu
      Şirketlerin de bot değil gerçek aktif kullanıcı sayılarını kanıtlama yönünde teşviki var
    • Uber de bunu yapmamalı. Taksi çevirmek için kimlik göstermek gerekmiyordu. Sokak köşesinde durup el sallamak yeterliydi
      Uber sürücülerinden bahsediyorsan bir ölçüde anlarım. Ama yolcuysa? Uber kullanmadığım için emin değilim
    • Tüm bu sızıntılar yüzünden kimlikler, gerçekten kimliği kanıtlama aracı olarak giderek daha az değerli hale geliyor
      Bir yandan da fiziksel kimlikler o kadar yaygın biçimde sızdırılıp suçlular arasında o kadar kapsamlı dağıldı ki artık güvenilir belge olmaktan çıktı; bu yüzden insanları iris taraması veya parmak izi gibi biyometrik kimlik doğrulama kullanmaya zorlamayı amaçladıklarına inanasım geliyor
    • Doğru. Tam da bu yüzden bu şirketlere asla kimlik vermemek gerekiyor
    • Tamamen katılıyorum; biraz daha ileri gidersem, belki ben çağın gerisinde kalmışımdır ya da balonun yeterince dışındayımdır ve objektif görebiliyorumdur ama Twitter veya TikTok gibi tamamen “lifestyle” hizmetlerinde hesap açmak için devlet tarafından verilmiş kimlik doğrulamak zorunda olmak... gerçekten buraya kadar mı geldik diye düşündürüyor
      Birilerinin gerçekten varmak istediği yer burası mıydı?

  • X zaten Stripe’a geçmemiş miydi? Filistin’le ilgili protestolara katılan insanların, ev adreslerini içeren kimliklerini, topladıklarını kabul ettikleri biyometrik bilgileri ve diğer verileri İsrail’le doğrudan bağlantılı bir şirkete vermekten endişe ederek ciddi tepki gösterdiği bir olay olmuştu
    Bu şirket hakkında özel olarak bilmiyorum, ama hükümetlerin fiilen teknoloji şirketleri için bir inkübatör gibi davranmasının yaygın olduğunu bildiğimden bu endişeler temelsiz değildi
    Geçiş yapmış olsalar bile bazı kullanıcılar ondan önce doğrulanmış olacağından X’in de hâlâ etkilenmiş olabileceğini düşünüyorum. Belki de kullanıcıların uzunca süredir dile getirdiği bu endişeler iç kararları etkilemiş olabilir
    Uber ve TikTok’un bunları kullandığını hiç bilmiyordum; öğrenmiş olmak iyi oldu. Neyse ki henüz onlara biyometrik bilgilerimi vermedim

    • Stripe’ın İsrail’le bağlantılı olduğunu bilmiyordum. Haber verdiğin için teşekkürler. Daha etik bir alternatif arayacağım ama lansman yaklaştığı için mümkün olur mu bilmiyorum

  • ABD vatandaşlarının biyometrik kimlik bilgileri neden İsrail’e gönderiliyor? Böyle hassas bilgilerin ABD veri merkezleri dışına çıkmasına dair bir yasa yok mu?

    • Şaşırabilirsin. Örneğin banka şirketleri ve tedarikçileri Hindistan ve Polonya’ya dış kaynak kullanıyor. Polonya’daki personel arasında Belarus vatandaşları da var
      ABD müşteri verileri; hesap numaraları, sosyal güvenlik numaraları ve diğer kişisel bilgilerle birlikte tüm dünyaya yayılmış durumda
      ABD’de saklanıyor olabilirler ama daha düşük yaşam maliyetine sahip bölgelerdeki insanlar erişiyor
    • İyi soru. Bir Azure tedarikçi hesabı için Au10Tix’e kimlik sunmam gerekti ve verilerin İsrail’e dış kaynakla işlendiğini gördüm

  • Bazen, bu tür durumların eninde sonunda yazılım geliştirmenin belirli işleri için yasal olarak zorunlu profesyonel lisanslama sistemine yol açacağını düşünüyorum
    Elbette kod yazan herkesin geliştirici lisansı alması gerekmez. Blog yazmak ya da meyve şakaları sitesi yayımlamak için lisans gerekmesi saçma olur. Ama bir işletme kişisel tanımlanabilir bilgilerle çalışıyorsa gerçek mühendislik gerekir; o mühendisliği yapan kişilerin de sertifikalı olması gerekir
    Bu, mühendislik lisanslarının başlamasına benziyor. En azından ABD’de, Wyoming’in ne yaptığını bilmeyen insanların su altyapısı inşa etmesinden bıkması tetikleyici olmuştu
    Lisans, “hızlı hareket et ve bir şeyleri kır” diyen yöneticilere ya da üst düzey yönetime karşı tek tek mühendislere bir kaldıraç da sağlayabilir. Münhasır onay yetkisine sahip profesyonel bir meslek grubundaysanız “Bunu doğru yapmalıyız. Aksi hâlde sorumluluk bende, o yüzden geri çekilin” demek kolaylaşır
    Şirket “tamam, kovuldun” dedikten sonra kişisel tanımlanabilir bilgilerin yönetimini zorla sürdürür ve böyle bir sızıntı yaşanırsa şirketin sorumluluğu çok daha büyük olur. Genel olarak bu, kişisel tanımlanabilir bilgi veritabanı yönetimini ya da endpoint yapılandırmasını bilen vasıflı çalışanların işlerini düzgün yapabilmeleri için pazarlık gücünü artıran yönde işler
    Lisans sistemlerinin de çok sayıda tuzağı var, ama önümüzdeki birkaç yıl içinde böyle bir hareketin ortaya çıkıp çıkmayacağını merak ediyorum

    • Kod yazan herkes için geliştirici lisansının gerekli hâle gelmesi de aslında çok olası bir sonuç
      Şaşırtıcı istatistik şu: mesleklerin kabaca yarısı mesleki lisans gerektiriyor. Bazı yerlerde çiçekçi olmak için lisans gerekiyor. Bazı eyaletlerde iç mimarların ya da benzin istasyonu çalışanlarının bile izne ihtiyacı var. Yazılım mühendisliği, yüksek gelirli meslekler arasında tam bir istisna
      Bunun doğru olduğunu düşünmüyorum, ama içinde yaşadığımız dünya böyle ve kendimizi kandırmamalıyız. Birçok yazılım mühendisi işe yarar, hassas bir düzenleme istediğini söylüyor; fakat düzenleme toptan gelecek ve meyve şakaları web sitesi de istisna olmayacak
    • Bu, Richard Stallman’ın “Right to Read”de hayal ettiği distopik durum. Bunu istemem. Bunun yerine bu tür periyodik hatalara katlanmayı tercih ederim
    • Böyle lisanslar muazzam bir israf olur; yapılacaksa güvenlikten tasarruf etmeye çalışan yönetimin sertifikalandırılması gerekir
      Mühendisler için yapılabilecek şey özel eğitim vermek ya da diplomaları tanımaktan ibaret. Hükûmetin bunun ötesinde yapabileceği pek bir şey yok
      Ayrıca hiçbir lisans üst düzey yönetime karşı kaldıraç sağlamaz
    • İyimser bir gelecekte bu tür lisanslara hiç gerek kalmaz. Çünkü çalınacak kişisel veri kalmaz
      Gerçek belge taramalarını içermeden de kimliği doğrulayan çözümler var. Belki bir gün ABD’de de akıllı kartlar çıkar
    • O zaman yurtdışına taşınma daha da artar