Segurança Goatse - Goatse Security
 Logotipo da Goatse Security
| |
| Formação | Dezembro de 2009 |
|---|---|
| Propósito | Hacking |
Filiação |
Andrew "weev" Auernheimer Sam Hocevar Daniel Spitler Leon Kaiser Nick "Rucas" Price |
Produtos |
Cerrar |
| Local na rede Internet |
segurança |
Goatse Security ( GoatSec ) era um grupo de hackers de chapéu cinza de nove pessoas, especializado em descobrir falhas de segurança. É uma divisão da organização anti-blogging de trollagem da Internet conhecida como Gay Nigger Association of America (GNAA). O nome do grupo deriva do site de choque Goatse.cx e escolheu "Gaping Holes Exposed" como seu slogan . O site foi abandonado sem uma atualização desde maio de 2014.
Em junho de 2010, a Goatse Security obteve os endereços de e-mail de aproximadamente 114.000 usuários do Apple iPad. Isso levou a uma investigação do FBI e ao ajuizamento de acusações criminais contra dois membros do grupo.
Fundador
A GNAA tinha vários pesquisadores de segurança entre seus membros. De acordo com o porta-voz da Goatse Security, Leon Kaiser, a GNAA não poderia utilizar plenamente seus talentos, pois o grupo acreditava que não haveria ninguém que levaria a sério os dados de segurança publicados pela GNAA. A fim de criar um meio pelo qual os membros da GNAA possam publicar suas descobertas de segurança, a GNAA criou a Goatse Security em dezembro de 2009.
Descoberta de vulnerabilidades do navegador
Para proteger seu navegador da exploração interprotocolo , o Mozilla bloqueou várias portas às quais os formulários HTML normalmente não teriam acesso. Em janeiro de 2010, a GNAA descobriu que os blocos do Mozilla não cobriam a porta 6667 , o que deixou os navegadores Mozilla vulneráveis a scripts de protocolo cruzado. A GNAA criou um exploit baseado em JavaScript para inundar os canais de IRC . Embora EFnet e OFTC tenham sido capazes de bloquear os ataques, a Freenode lutou para neutralizá-los. A Goatse Security expôs a vulnerabilidade e um de seus membros, Andrew Auernheimer, também conhecido como " weev ", postou informações sobre a exploração na Encyclopedia Dramatica .
Em março de 2010, a Goatse Security descobriu uma vulnerabilidade de estouro de número inteiro no navegador da Apple, Safari , e postou um exploit na Encyclopedia Dramatica. Eles descobriram que uma pessoa poderia acessar uma porta bloqueada adicionando 65.536 ao número da porta. Essa vulnerabilidade também foi encontrada no Arora , iCab , OmniWeb e Stainless. Embora a Apple tenha corrigido a falha nas versões do Safari para desktop em março, a empresa deixou a falha sem correção nas versões móveis do navegador. A Goatse Security afirmou que um hacker poderia explorar a falha do Safari no celular para obter acesso e causar danos ao iPad da Apple .
Vazamento de endereço de e-mail da AT&T / iPad
Em junho de 2010, a Goatse Security descobriu uma vulnerabilidade no site da AT&T . AT & T era o único fornecedor de 3G serviço para a Apple 's iPad no Estados Unidos na época. Ao se inscrever no serviço 3G da AT&T de um iPad, a AT&T recupera o ICC-ID do cartão SIM do iPad e o associa ao endereço de e-mail fornecido durante a inscrição. Para facilitar o processo de login do iPad, o site da AT&T recebe o ICC-ID do cartão SIM e preenche previamente o campo do endereço de e-mail com o endereço fornecido durante o registro. A Goatse Security percebeu que, ao enviar uma solicitação HTTP com um ICC-ID válido embutido dentro dele para o site da AT&T, o site revelaria o endereço de e-mail associado a esse ICC-ID.
Em 5 de junho de 2010, Daniel Spitler, também conhecido como "JacksonBrown", começou a discutir essa vulnerabilidade e as possíveis maneiras de explorá-la, incluindo phishing , em um canal de IRC. A Goatse Security construiu um script de força bruta baseado em PHP que enviaria solicitações HTTP com ICC-IDs aleatórios para o site da AT&T até que um ICC-ID legítimo fosse inserido, o que retornaria o endereço de e-mail correspondente ao ICC-ID. Este script foi apelidado de "iPad 3G Account Slurper".
A Goatse Security então tentou encontrar uma fonte de notícias apropriada para divulgar as informações vazadas, com Auernheimer tentando entrar em contato com os executivos da News Corporation e da Thomson Reuters , incluindo Arthur Siskind , sobre os problemas de segurança da AT&T. Em 6 de junho de 2010, Auernheimer enviou e-mails com alguns dos ICC-IDs recuperados para verificar suas alegações. Os registros de bate-papo desse período também revelam que atenção e publicidade podem ter sido incentivos para o grupo.
Ao contrário do que alegou inicialmente, o grupo inicialmente revelou a falha de segurança para a Gawker Media antes de notificar a AT&T e também expôs os dados de 114.000 usuários de iPad, incluindo celebridades, governo e militares. Essas táticas voltaram a provocar um debate significativo sobre a divulgação adequada das falhas de segurança de TI.
Auernheimer afirmou que a Goatse Security usava práticas padrão comuns da indústria e disse que "tentamos ser os mocinhos". Jennifer Granick, da Electronic Frontier Foundation , também defendeu as táticas usadas pela Goatse Security.
Em 14 de junho de 2010, Michael Arrington, da TechCrunch, concedeu ao grupo um prêmio Crunchie pelo serviço público. Esta foi a primeira vez que um Crunchie foi concedido fora da cerimônia anual de premiação dos Crunchies.
O FBI então abriu uma investigação sobre o incidente, levando a uma queixa criminal em janeiro de 2011 e uma batida na casa de Auernheimer. A busca estava relacionada à investigação da AT&T e Auernheimer foi posteriormente detido e libertado sob fiança por acusações estaduais de drogas, posteriormente retirado. Após sua libertação sob fiança, ele quebrou uma ordem de mordaça para protestar e contestar a legalidade da busca em sua casa e da negação de acesso a um defensor público . Ele também pediu doações via PayPal , para custear custos legais. Em 2011, o Departamento de Justiça anunciou que ele será acusado de uma acusação de conspiração para acessar um computador sem autorização e uma acusação de fraude. Um co-réu, Daniel Spitler, foi libertado sob fiança.
Em 20 de novembro de 2012, Auernheimer foi considerado culpado de uma acusação de fraude de identidade e uma acusação de conspiração para acessar um computador sem autorização, e tuitou que apelaria da decisão. Alex Pilosov, um amigo que também estava presente para a decisão, tuitou que Auernheimer permaneceria em liberdade sob fiança até a sentença, "que será pelo menos 90 dias fora".
Em 29 de novembro de 2012, Auernheimer escreveu um artigo na Wired Magazine intitulado "Esqueça a divulgação - os hackers devem manter os buracos de segurança para si próprios", defendendo a divulgação de qualquer exploração de dia zero apenas para indivíduos que "a usarão no interesse da justiça social . "
Em 11 de abril de 2014, o Terceiro Circuito emitiu uma opinião anulando a condenação de Auernheimer, com base em que o local em Nova Jersey era impróprio. Os juízes não abordaram a questão substantiva sobre a legalidade do acesso ao site. Ele foi libertado da prisão no final de 11 de abril.
Outras realizações
Em maio de 2011, uma vulnerabilidade DoS afetando várias distribuições do Linux foi divulgada pela Goatse Security, depois que o grupo descobriu que uma URL longa da Advanced Packaging Tool faria com que o compiz travasse .
Em setembro de 2012, a Goatse Security foi creditada pela Microsoft por ajudar a proteger seus serviços online.