Skype può esporre la tua posizione, dicono i ricercatori

Riepilogo:

I ricercatori hanno scoperto che Skype ha esposto gli indirizzi IP degli utenti e potenzialmente le loro sedi geografiche da oltre un anno. Nonostante sia stato informato sulla vulnerabilità, Skype non è riuscito a risolvere il problema, lasciando a rischio le informazioni dei suoi utenti. Ciò solleva preoccupazioni per la privacy e la sicurezza dell’utilizzo di Skype per la telefonia vocale-over-IP.

Punti chiave:

1. Skype è a conoscenza di una vulnerabilità alla privacy per oltre un anno, il che consente di esposti gli indirizzi IP degli utenti.
2. I ricercatori hanno avvisato Skype della vulnerabilità nel 2010, ma la società non ha risolto il problema.
3. Gli indirizzi IP e le posizioni geografiche degli utenti di Skype possono essere identificati tramite una tecnica di chiamata mascherata.
4. La vulnerabilità consente di monitorare i movimenti degli utenti e le posizioni a livello di città.
5. Anche una versione patch di Skype può essere sfruttata per ottenere indirizzi IP tramite la registrazione del debug.
6. Skype potrebbe non aver risolto il problema a causa della sua profonda integrazione nel codice, che richiede una ristrutturazione significativa.

Domande chiave:

1. D: In che modo i ricercatori hanno scoperto la vulnerabilità in Skype?

A: I ricercatori del Polytechnic Institute della New York University hanno scoperto la vulnerabilità conducendo esperimenti e rivelando le informazioni a Skype nel 2010.

2. D: Skype ha risolto la vulnerabilità?

A: No, Skype non ha risolto la vulnerabilità, anche dopo essere stato avvisato a riguardo più di un anno fa. La recente esposizione della vulnerabilità sulla pastabina indica che il problema persiste.

3. D: Come può qualcuno tracciare la posizione di un utente Skype?

A: Facendo una chiamata mascherata a un utente Skype, è possibile ottenere il proprio indirizzo IP e determinare la posizione a livello di città. Inoltre, una versione patch di Skype può essere sfruttata per ottenere indirizzi IP attraverso l’abilitazione della registrazione del debug.

4. D: Perché Skype non ha dato la priorità a correggere la vulnerabilità?

A: Secondo uno dei ricercatori, la vulnerabilità può essere profondamente incorporata nel codice di Skype, che richiede una ristrutturazione sostanziale per risolvere. La risposta di Skype alla divulgazione dei ricercatori ha anche suggerito che si tratta di un problema più ampio del settore affrontato dalle società di software peer-to-peer.

5. D: Per quanto tempo i ricercatori sono stati in grado di tracciare le posizioni degli utenti di Skype?

A: I ricercatori hanno monitorato la posizione a livello di città di 10.000 utenti Skype per due settimane ripetendo una chiamata mascherata ogni ora per ottenere i loro indirizzi IP.

6. D: Chi possiede Skype?

A: Skype è attualmente di proprietà di Microsoft.

7. D: Quali sono i potenziali rischi associati all’esposizione degli indirizzi IP?

A: L’esposizione degli indirizzi IP può portare a invasioni della privacy, consentendo alle persone di tenere traccia della posizione di un utente, monitorare le loro attività online e potenzialmente avviare attacchi mirati.

8. D: Gli account personali degli utenti Skype sono a rischio a causa di questa vulnerabilità?

A: Mentre la vulnerabilità espone gli indirizzi IP degli utenti, è importante notare che l’exploit richiede un certo livello di persistenza e conoscenza tecnica. Tuttavia, gli utenti dovrebbero ancora prestare attenzione ed essere consapevoli dei potenziali rischi associati all’utilizzo di Skype.

9. D: Gli utenti possono proteggersi da questa vulnerabilità?

A: Al momento, non esiste una soluzione nota per la vulnerabilità all’interno di Skype. Gli utenti possono prendere in considerazione l’utilizzo di una VPN (rete privata virtuale) o altri strumenti per la privacy per mascherare i propri indirizzi IP e migliorare la loro privacy online.

10. D: Cosa dovrebbero fare gli utenti di Skype se sono preoccupati per la loro privacy?

A: Gli utenti di Skype che sono preoccupati per la loro privacy dovrebbero valutare i potenziali rischi associati alla vulnerabilità dalla comodità e dalle funzionalità offerte dal servizio. È inoltre consigliabile rimanere informato su eventuali aggiornamenti o dichiarazioni di Skype in merito alla vulnerabilità.

11. D: Esistono servizi vocali alternativi che sono più sicuri?

A: Ci sono diversi servizi alternativi disponibili sul mercato che danno la priorità alla sicurezza e alla privacy. Si consiglia agli utenti di ricercare e confrontare diversi servizi vocali-over-IP per trovarne uno che si allinea alle loro esigenze sulla privacy.

12. D: Questa vulnerabilità potrebbe essere sfruttata per scopi dannosi?

A: Sì, questa vulnerabilità potrebbe essere potenzialmente sfruttata da persone dannose per vari scopi, tra cui il monitoraggio e il monitoraggio degli utenti di Skype, il lancio di attacchi mirati o persino la conduzione di sorveglianza.

13. D: Skype ha risposto alla recente divulgazione della vulnerabilità?

A: La risposta di Skype alla recente divulgazione della vulnerabilità ha rispecchiato le sue dichiarazioni precedenti, indicando che sono a conoscenza del problema e considerandolo come un problema a livello di settore.

14. D: Quali sono le implicazioni di questa vulnerabilità per la reputazione di Skype?

A: La scoperta di questa vulnerabilità e l’incapacità di Skype di affrontarla può avere un impatto negativo sulla reputazione dell’azienda in termini di fiducia e fiducia dell’utente. Gli utenti possono mettere in discussione le misure complessive di sicurezza e privacy implementate da Skype.

15. D: Ci sono implicazioni legali per Skype in merito a questa vulnerabilità?

A: Le implicazioni legali per Skype dipenderebbero da vari fattori, inclusa la sua responsabilità per garantire la privacy degli utenti e le normative in diverse giurisdizioni. È possibile che le persone o le organizzazioni colpite dalla vulnerabilità possano perseguire un’azione legale contro Skype se possono dimostrare danni o negligenza.

Skype può esporre la tua posizione, dicono i ricercatori

Gli eventi della scorsa settimana mi hanno ricordato un argomento di privacy i’ve ha significato rivisitare: quel servizio di telefonia vocale-over-ip Skype Espone costantemente il tuo indirizzo Internet a tutto il mondo e che ora ci sono numerosi strumenti gratuiti e commerciali che possono essere utilizzati per collegare i nomi degli account utente Skype a indirizzi numerici Internet.

Ricercatori: Skype ha ignorato la vulnerabilità di tracciamento della posizione per più di un anno

Skype sapeva più di un anno fa di una vulnerabilità alla privacy che avrebbe permesso a qualcuno di identificare l’indirizzo IP e possibilmente la posizione geografica di un utente, ma lo ha lasciato non fissata, secondo i ricercatori che affermano di aver notificato la società nel 2010.

Salva la storia

Salva la storia

Skype ha appreso più di un anno fa su una vulnerabilità alla privacy che consentirebbe a qualcuno di identificare l’indirizzo IP e possibilmente la posizione geografica di un utente, ma l’ha lasciata non fissata, secondo i ricercatori che affermano di aver informato la società nel 2010.

Stevens Le Blond, ex ricercatore presso il Polytechnic Institute Inria in Francia, che ora lavora al Max Planck Institute for Software Systems, ha detto al CIO Journal Che lui e gli altri ricercatori del Polytechnic Institute della New York University hanno rivelato la vulnerabilità a Skype nel novembre 2010 e hanno pubblicato le informazioni nell’ottobre 2011. Pertanto sono stati sorpresi di scoprire che la vulnerabilità non era ancora fissata la scorsa settimana dopo che qualcuno ha pubblicato uno script online che mostra Skype sfruttato per scoprire gli indirizzi IP locali e remoti per gli utenti.

Alla domanda sulla divulgazione dei ricercatori, Skype, che è di proprietà di Microsoft, ha ripetuto solo ciò che Skype aveva detto ai giornalisti la scorsa settimana quando è stato anche pubblicato un exploit diverso che espone gli indirizzi IP. Adrian Asher, direttore della sicurezza del prodotto per Skype, ha dichiarato al momento che Skype “indagava sui rapporti di un nuovo strumento che cattura un utente Skype’s L’ultimo indirizzo IP noto. Questo è un problema in corso a livello di settore affrontato da tutte le società di software peer-to-peer.”

“Chiamandolo a ‘Nuovo strumento’ Significa che non’deve rispondere in modo urgente,” Le Blond ha detto a rivista. “Fa sembrare che abbiano appena scoperto.”

I ricercatori hanno scoperto di essere in grado di scoprire l’indirizzo IP degli utenti di Skype e della loro posizione della città, conducendo una chiamata mascherata a un utente. La chiamata potrebbe essere effettuata in un modo che impedirebbe di spuntare una notifica sullo schermo dell’utente e impedire alla chiamata di apparire nella cronologia delle chiamate di un utente.

Una volta effettuata la chiamata, i ricercatori hanno ottenuto l’indirizzo IP dalle informazioni che Skype invia automaticamente al chiamante. Ripetendo una chiamata ogni ora, potrebbero effettivamente mappare il movimento di un utente per determinare se si muovevano tra le città. In questo modo, hanno rintracciato di nascosto la posizione a livello di città di 10.000 utenti Skype per due settimane.

Hanno deciso di verificare se la vulnerabilità era stata fissata dopo che qualcuno ha rilasciato informazioni in modo anonimo su Pastebin la scorsa settimana che ha mostrato come sfruttare una versione patchata di Skype 5.5 per ottenere un indirizzo IP in modo diverso che non richiede una chiamata mascherata.

La tecnica prevede l’abilitazione della registrazione del debug, effettuare una ricerca sugli utenti attivi come per aggiungerli come contatto, quindi visualizzare la loro VCARD o la scheda informativa di contatto, che genererà un indirizzo IP nei registri. Utilizzando gli strumenti di ricerca sull’indirizzo IP, qualcuno potrebbe quindi tenere traccia della posizione dell’indirizzo IP in una città.

Keith Ross, uno dei ricercatori che ha informato Skype nel 2010, CIO Journal che Skype probabilmente non aveva risolto il problema perché potrebbe essere “profondamente incorporato nel codice” e richiedere “pesante ristrutturazione” risolvere.

Skype può esporre la tua posizione, dicono i ricercatori

Amy Dickerson per il New York Times

Ricorda quando un burlone poteva renderrsi un fastidio generale chiamando il telefono di casa e appesi rapidamente?

L’equivalente di una chiamata di scherzi su Skype, il popolare servizio vocale-over-internet-protocollo, può essere molto più di un fastidio. Se hai effettuato l’accesso a Skype, un burlone – o ladro o spia – può effettivamente tracciare dove sei e in alcune circostanze, cosa fai e persino ciò che scarichi, secondo un esperimento guidato da Keith Ross, professore di informatica presso il Polytechnic Institute della New York University a Brooklyn a Brooklyn a Brooklyn a Brooklyn a Brooklyn a Brooklyn a Brooklyn.

Sig. Ross, insieme ai suoi collaboratori presso il francese Information Research Institute, Inria, ha seguito 10.000 utenti Skype selezionati in modo casuale in 16 giorni.

Se un utente’L’applicazione di S Skype era in esecuzione, i ricercatori potevano chiamare in modo poco appariscente e, nel processo di effettuare la chiamata, raccogliere l’utente’Indirizzo del protocollo Internet. Ogni ora, i ricercatori hanno registrato un I.P. indirizzo per ogni utente. Tale indirizzo potrebbe a sua volta essere utilizzato per determinare l’utente’S Posizione geografica – In alcuni casi, fino al codice postale.

I ricercatori hanno quindi vinto il grande campione a una manciata di volontari che hanno accettato di lasciarsi monitorare. In un esempio, un utente di Skype è stato visto accedere a Skype dalla rete di un’università di New York City, seguito da una visita a Chicago, un ritorno all’università e poi a casa sua in Francia.

Coloro le cui maniglie Skype sono identiche o simili ai loro nomi reali sono molto più visibili. I ricercatori potrebbero potenzialmente trovare molto di più su di loro su una varietà di social network.

“Se avessimo seguito anche la mobilità degli amici di Facebook di questo utente, probabilmente avremmo determinato chi stava visitando e quando,” hanno detto i ricercatori.

Non è sufficiente rifiutare una chiamata Skype da uno sconosciuto. In una rete peer-to-peer, è sufficiente stabilire una connessione tra due pari per rivelare un i.P. indirizzo. Che io.P. L’indirizzo può quindi essere utilizzato anche per cercare quali file di grandi dimensioni sono stati scaricati su quel dispositivo utilizzando BitTorrent, un sistema peer-to-peer che viene più comunemente usato per condividere film piratati e musica.

Skype, di proprietà di Microsoft, ha affermato di essere a conoscenza del problema. “Apprezziamo la privacy dei nostri utenti e ci impegniamo a rendere i nostri prodotti il ​​più sicuri possibile,” Adrian Asher, la compagnia’S Chief Information Security Officer, in una nota. “Proprio come con il tipico software di comunicazione Internet, gli utenti Skype connessi possono essere in grado di determinarsi’Indirizzo IP. Attraverso la ricerca e lo sviluppo, continueremo a fare progressi in questo settore e miglioramenti al nostro software.”

Sig. Ross, il professore di informatica, ha suggerito le seguenti misure precauzionali agli avidi utenti di Skype. Esso’Probabilmente è meglio non lasciare sempre la tua applicazione Skype in esecuzione, proprio quando hai intenzione di effettuare o ricevere una chiamata. Gli utenti sono anche leggermente più protetti se scelgono un manico Skype diverso dal loro vero nome.

Privacy 101: Skype perde la tua posizione

Gli eventi della scorsa settimana mi hanno ricordato un argomento di privacy i’ve ha significato rivisitare: quel servizio di telefonia vocale-over-ip Skype Espone costantemente il tuo indirizzo Internet a tutto il mondo e che ora ci sono numerosi strumenti gratuiti e commerciali che possono essere utilizzati per collegare i nomi degli account utente Skype a indirizzi numerici Internet.

Un servizio di risolver skype in azione.

Il fatto che Skype tradisca i suoi utenti’ Le informazioni sulla posizione online non sono certo una novità. Per esempio, Il giornale di Wall Street e altri punti vendita hanno avvertito l’anno scorso sulla ricerca che mostrava che era possibile convincere Skype a rivelare gli indirizzi IP dei singoli utenti di Skype. Ma credo che la maggior parte degli utenti di Skype non abbia ancora idea di questa debolezza della privacy di base.

Che cosa’S cambiato è che nell’ultimo anno sono emersi numerosi servizi per aiutare Snoops e NE’er-do-wells sfrutta questa vulnerabilità per tracciare e molestare altri online. Ad esempio, una ricerca online di “risolver Skype” Restituisce dozzine di risultati che indicano i servizi (di affidabilità variabile) che consentono agli utenti di cercare l’indirizzo Internet di qualsiasi utente Skype, solo fornendo il target’S Skype Nome account.

Nella schermata sopra, possiamo vedere uno di questi servizi utilizzati per visualizzare l’indirizzo IP più recentemente utilizzato dall’account Skype “Mailen_Support” (Questo particolare account appartiene al contatto di supporto tecnico per Mailien, un programma di affiliazione di farmacia russa con lo stesso nome).

Un servizio Skype IP Resolver in azione.

In genere, questi risolutori Skype sono offerti in tandem con “booter” O “stresser” Servizi, strumenti di attacco online per il noleggio che possono essere noleggiati per lanciare attacchi di negazione del servizio (uno di questi servizi è stato utilizzato in un attacco a questo sito Web e su quello di ARS Technica la scorsa settimana). L’idea è che se vuoi bussare a qualcuno offline ma non’Conosci il loro indirizzo Internet, puoi semplicemente cercare su Skype per vedere se hanno un account e quindi utilizzare i risolutori per individuare il loro IP. I risolutori funzionano indipendentemente da eventuali impostazioni di privacy, l’utente di destinazione potrebbe aver selezionato all’interno del programma Skype’pannello di configurazione s.

Molti di questi servizi di resolver offrono “Elenco nero,” Che per una commissione consentirà agli utenti di impedire ad altri utenti di cercare l’indirizzo IP allegato a un account Skype specifico, ha affermato Brandon Levene, un ricercatore indipendente per la sicurezza.

“Esso’S fondamentalmente uno schema di protezione,” Disse Levene.

Levene ha affermato che i risolutori di Skype funzionano utilizzando un client Skype modificato (5.5 o 5.9) Per creare un registro di debug. Questo client è ospitato su un server Web.

“Un semplice script viene utilizzato per costruire un collegamento contenente un nome utente Skype, che viene passato al client modificato,” Disse Levene. “Questo client tenta semplicemente di aggiungere il nome utente richiesto a un elenco di contatti e analizza l’account target’S ‘scheda informatica’ (se disponibile). Questo processo scrive l’indirizzo IP del nome utente richiesto al registro di debug, in bella vista.”

Oltre a esporre uno’S Internet Connection a attacchi fastidiosi e dirompenti, questa vulnerabilità potrebbe consentire agli stalker o ai rivali aziendali di tracciare il movimento di individui e dirigenti mentre viaggiano tra città e stati.

Skype è stato acquistato da Microsoft Nel 2011, ma Microsoft sembra aver fatto ben poco per affrontare questa debolezza della privacy, nonostante l’attenzione presentata e la proliferazione di siti che offrono strumenti per sfruttarlo. “Stiamo studiando i report di strumenti che catturano un utente Skype’s L’ultimo indirizzo IP noto,” un portavoce di Skype ha detto in una dichiarazione via email. “Questo è un problema in corso a livello di settore affrontato da tutte le società di software peer-to-peer.”

Il modo più semplice per affrontare questi problemi di privacy sarebbe quello di trasmettere tutto il traffico di segnalazione di Skype (E.G., strette di mano) attraverso i delegati, ha affermato Stevens Le Blond, un ricercatore al Max Planck Institute for Software Systems in Germania.

“Ciò impedirebbe alle terze parti a bassa risorsa, come i risolutori, per tracciare gli utenti di Skype,” Le Blond ha scritto in un’e -mail a Krebsonsecurity. “Tuttavia, nonostante un importante aggiornamento delle infrastrutture dell’anno scorso, Skype è ancora vulnerabile al monitoraggio della posizione. Si può solo ipotizzare il motivo per cui è così. Una possibilità è che trasmettere tutto il traffico di segnalazione romperebbe l’interoperabilità con le versioni precedenti di Skype.

Difendersi contro aggressori più potenti in grado di intercettare i collegamenti Internet è molto più impegnativo perché richiede di trasmettere sia la segnalazione che il traffico del carico utile crittografato, ha detto Le Blond.

“Una sfida è che il tempo massimo di andata e ritorno (RTT) che gli utenti VoIP possono tollerare è di circa 300 millisecondi (ms) mentre il ritardo di propagazione in un cavo in fibra ottica che si estende sulla circonferenza del pianeta è di circa 200 ms. Significa che quando un utente in Germania chiama un altro in Australia, il servizio proxy deve sostenere meno di 100 ms aggiuntivi RTT. Il mio team e io stiamo attualmente lavorando a questo problema.”

AGGIORNAMENTO, 22 marzo 9:45 a.M. ET: Citazioni aggiunte da Microsoft, Levene e Le Blond.

Questa voce è stata pubblicata giovedì 21 marzo 2013 alle 19:30

Le persone possono tracciare le chiamate Skype?

Mentre la privacy è importante per l’uso di Skype, la politica aziendale di un’azienda può talvolta a dettare che l’amministrazione sappia chi sta parlando con chi e quali informazioni vengono inviate. Mentre Skype Manager consente agli amministratori di visualizzare in dettaglio le operazioni di Skype aziendali, i dipendenti che utilizzano i propri account Skype possono ancora eludere il monitoraggio in una certa misura. Esistono altri metodi per monitorare Skype, che possono comunque produrre risultati utili.

Skype Manager

1. Skype Manager è un sistema di gestione basato sul Web per le distribuzioni aziendali di Skype. Con Skype Manager, un amministratore crea account che i dipendenti possono utilizzare invece dei loro account Skype personali. Questi account sono monitorati da Skype Manager, che fornisce all’amministratore rapporti dettagliati relativi alla data, all’ora, alla durata e alla destinazione delle chiamate e dei testi effettuati, nonché dettagli di acquisto e download. Gli amministratori possono anche gestire le funzionalità di Skype Premium degli account utente e la quantità di credito Skype che ogni utente è consentito. Skype Manager può anche essere utilizzato per monitorare gli account personali, se lo si desidera. Gli amministratori devono ottenere il consenso esplicito dal detentore del conto per monitorare le proprie attività, altrimenti gli amministratori possono monitorare solo il saldo del credito Skype sui conti personali. Il consenso può anche essere ritirato in qualsiasi momento.

Tracciamento dell’indirizzo IP

1. L’attività di Skype può anche essere monitorata tracciando collegamento degli indirizzi IP. Quando Skype collega una chiamata, il computer di connessione deve identificarsi tramite il suo indirizzo IP. In un documento del 2011 pubblicato congiuntamente dalla New York University, dall’Istituto francese per la ricerca in informatica e controllo e il Max Planck Institute for Software Systems, i ricercatori hanno scoperto che facendo una chiamata Skype potresti accertare l’IP del destinatario della chiamata. Questo indirizzo IP può essere collegato alla posizione geografica del suo host con uno sforzo minimo attraverso siti come quello che è il mio indirizzo IP, insieme ad altre informazioni tra cui tipo di connessione, nome host e fornitore di servizi Internet.

Monitoraggio dei social media

1. I social media possono anche essere fondamentali nel bloccare con chi i tuoi dipendenti stanno chiacchierando. Skype consente agli utenti di condividere i dettagli di contatto completi tra loro, rendendo l’identificazione facile per chiunque abbia i dettagli. Se un utente Skype usa il suo vero nome come nome utente, può anche essere rintracciato usando quel nome e la geolocalizzazione ottenuta monitorando il suo IP per cercarlo sui siti di social network come Facebook. Se il tuo dipendente ha questa persona nella sua lista di amici su Facebook o in un altro sito di networking, l’identificazione è ancora più semplice in quanto devi solo controllare il nome Skype con la loro lista di amici.

Ragioni per tenere traccia dell’attività

1. Il monitoraggio dell’attività del tuo dipendente Skype può sembrare invasivo, ma in alcuni casi è un male necessario. L’attività Skype non autorizzata o non correlata al lavoro può essere una distrazione, che può ridurre la produttività. Le informazioni sensibili possono anche essere trapelate tramite Skype in chat video, vocali e di testo, nonché tramite trasferimenti di file. I trasferimenti di file eseguono anche il rischio di introdurre malware e altri virus nella rete dell’azienda.

Preoccupazioni relative alla privacy

1. Il monitoraggio dell’attività di Skype della tua azienda solleva legittime preoccupazioni per quanto riguarda la privacy dei dipendenti e può creare un ambiente di diffidenza implicita. I dipendenti dovrebbero sempre essere esplicitamente consapevoli delle politiche di monitoraggio della tua azienda, incluso quali tipi di dati vengono monitorati, quali metodi vengono utilizzati per raccogliere tali dati e quali azioni verranno intraprese se vengono sorpresi a violare le politiche di utilizzo appropriate della tua azienda. Il consenso dovrebbe essere ottenuto per iscritto per indennizzare la società contro le accuse di illecite se un dipendente ritiene che la propria privacy sia stata violata. Tutte le politiche dovrebbero essere controllate dal dipartimento legale della tua azienda per assicurarsi che siano conformi alle leggi sulla privacy locali, statali e federali.