Kako je Eplov službenik nižeg ranga iscureo neke od najosetljivijih Ajfon kodova

Prvobitno objavljeno na Motherboard.

U sredu je neka anonimna osoba objavila zakonom zaštićeni izvorni kod jedne od osnovnih i fundamentalnih komponenti ajfonovog operativnog sistema.

Korisnik imena „ZioShiba“ je postavio zatvoreni kod za "ajbut" – deo iOS-a odgovoran za pouzdano podizanje operativnog sistema – na GitHub-u, najvećem spremištu otvorenih kodova na internetu.

Džonatan Levin, istraživač ajfona, nazvao je to „najvećim curenjem informacija“ u istoriji ajfona. "Ajbut" kod je za iOS 9, i star je dve godine. Ali čak i danas, mogao bi da pomogne istraživačima bezbednosti i džejlbrejk zajednici da pronađe nove bagove i slabe tačke u ključnom delu ajfonovog zaključanog ekosistema.

Objavljivanje ajbutovog izvornog koda nije rizik za većinu – ako i za bilo kog – korisnika, kao što je i Epl rekao u izjavi. Ali predstavlja neprijatnost za kompaniju koja se diči svojom tajnovitošću i agresivno se okomi na one koji šire te informacije.

Kako se ovako nešto dogodi?

Jedan službenik Epla nižeg ranga, sa prijateljima u džejlbrejk zajednici, je uzeo kod od Epla 2016, dok je radio u sedištu kompanije u Kupertinu, prema dvojici ljudi koji su prvobitno dobili kod od službenika. Motherboard je ova svedočenja potkrepio tekstualnim porukama i skrinšotovoima iz doba kada je kod prvi put procureo u javnost, i takođe je razgovarao sa trećim izvorom upoznatim sa pričom.

Motherboard je ovim izvorima garantovao anonimnost, zbog verovatnoće da će se Epl okomiti na njih zbog toga što su pribavili i distribuisali zakonom zaštićen, autorizovan softver. Originalni službenik Epla nije odgovorio na naše zahteve za komentar i preko prijatelja je poručio da trenutno ne želi da priča o tome, zato što je sa Eplom potpisao sporazum o poverljivosti.

Prema ovim izvorima, osoba koja je ukrala kod nije bila u sukobu s Eplom. Umesto toga, dok je bio zaposlen u Eplu, prijatelji su ga ohrabrivali da otkriva interne Eplove kodove. Ti prijatelji su pripadali džejlbrejk zajednici i želeli su izvornu šifru zarad svog istraživanja bezbednosti.

Ta osoba je uzela "ajbut" izvorni kod – i još jedan kod koji tek treba da dospe u širu javnost – i podelila ga sa malom grupom od petoro ljudi.

„Izvukao je sve, svakojake Eplove interne alate, i šta sve ne“, kaže mi prijatelj stažiste. Motherboard je video skrinšotove dodatnih izvornih kodova i nazive fajlova koji su bili deo procurelih informacija na GitHub-u, datirane otprilike u vreme prvog curenja u javnost.

Prema dvoje ljudi koji su bili u toj originalnoj grupi, nisu planirali da kod ikada procuri dalje od kruga prijatelja; treći prijatelj koji nije želeo kod, ali ga je video na kompjuteru jednog prijatelja, takođe potvrđuje ovaj prikaz događaja.

Međutim, kod je na kraju proširen mnogo dalje, i prvobitna grupa ljudi je izgubila kontrolu nad njegovim širenjem.

„Bio sam stvarno paranoičan povodom toga da će je neko od nas smesta proširiti dalje“, kaže mi jedan od ljudi koji su prvobitno dobili kod. „Imati ajbutov izvorni kod, a ne biti deo Epla… to je nečuveno“.

„Ja lično nisam želeo da kod ikada ugleda svetlost dana. Ne iz pohlepe, već iz straha da bi usledila oluja pravnih postupaka“, kaže on. „Eplova interna zajednica je prepuna radoznalih klinaca i tinejdžera. Znao sam da će jednog dana neki klinac to gurnuti na GitHub, ako bude dovoljno glup“.

„To može da postane oružje“, kažu oni. „O slobodi informacija se ima štošta reći, pošto mnogi na ovo curenje u javnost gledaju kao na dobru stvar. Ali informacija nije besplatna kada inherentno ugrožava nečiju bezbednost“.

„Prokleto smo dali sve od sebe da se postaramo za to da kod procuri tek kada postane zastareo“, dodali su.

Otpilike godinu dana otkako je kod ukraden i otkako je počeo da cirkuliše u toj maloj grupi prijatelja, neko unutar grupe ga je dao „nekome ko nije trebalo da ga dobije“, po rečima jednog izvora.

U ovom trenutku, priča postaje mutna. Niko sa kim sam razgovarao nije sasvim siguran ko je proširio informaciju izvan ove grupe bliskih prijatelja. I niko ne zna šta se tačno dogodilo potom. Ali svi sa kojima sam razgovarao se slažu da su u nekom trenutku izgubili kontrolu nad kodom, i da je lagano počeo da se širi sve dalje. Motherboard je potvrdio da je ovaj izvorni kod počeo da cirkuliše po širim krugovima tokom 2017, sa izvorima iz četvrte ili pete ruke, kojima su bliske zajednice džejlbrejkovanja i istraživanja ajfona.

A onda su u jesen 2017, ljudi koji nisu imali nikakve veze sa incijalnom grupom prijatelja počeli da na jednoj grupi džejlbrejkera na Diskordu dele skrinšotove koda, da bi se hvalili i začikavali ostale članove grupe, prema jednom od ljudi sa kojima sam razgovarao.

"Kada sam čuo za tu grupu na Diskordu, spalio sam sve kopije ajbuta koje sam imao“, rekao mi je. „To mi više nije potrebno, i ako to izađe u javnost, ne želim da budem umešan u njegovo širenje. Ako će da se proširi, neka se proširi, ali ja s tim neću imati veze“.

Međutim, u tom trenutku je već bilo kasno. Ubrzo potom, neko je sa jednog privremenog naloga na Reditu pod nazivom „apple_internals“ postavio link za mega arhivu sa izvornim kodom za ajbut, na r/jailbreak.

Skrinšot nezapaženog posta na Reditu na kome je izvorni kod za "ajbut" po prvi put podeljen sa čitavim internetom.

Ipak, veoma malo njih je to primetilo, zato što je post automatski uklonio moderatorski bot. Ali onda je u sredu ponovo postavljen na GitHub-u.

Oba naša izvora kažu da veruju da je neko ko nema veze sa prvobitinim curenjem u javnost to postavio na GitHub-u: „Ono što je juče procurelo zapravo i nije čitava informacija. To nije originalna informacija koje je procurela u javnost – u pitanju je kopija“, kaže jedan od njih.

U tom trenutku, informacija je postala viralna, prvo u džejlbrejk zajednici, a onda u široj zajednici za istraživanje bezbednosti iOS-a. U roku od par sati, na infoseku na Tviteru se pričalo o tome, a onda smo mi (kao i ostatak štampe koja prati tehnologiju) pisali o tome.

Epl je odbio da odgovori na pitanja da li su u kompaniji i pre srede znali da je ta informacija procurela, i da li to istražuju.

„Po samom dizajnu, bezbednost naših proizvoda ne zavisi od tajnosti našeg izvornog koda. Ima mnogo slojeva zaštite hardvera i softvera koji su ugrađeni u naše proizvode“, kažu iz kompanije u izjavi poslatoj mejlom.

U sredu mi je jedan službenik Epla rekao da su znali da je informacija procurela i pre nego što je objavljena na GitHub-u, ali mi nije rekao kada su u kompaniji saznali da je kod ukraden.

„To nikada nije trebalo da napusti uzak krug ljudi, i ono što se dogodilo je poprilična katastrofa“, rekao mi je jedan od ljudi koji je prvobitno dobio kod. „Očigledno je da se to na kraju pretvorilo u opšti zajeb, ali prvobitne namere nisu bile maliciozne“.

Pojašnjenje: Jedna rečenica u postu je izmenjena radi jasnoće, zato što je originalna fraza bila nejasna. Nije Epl ohrabrivao zaposlenog da raširi kod; to su činili njegovi prijatelji.