18 936
Tesztek Android Google Apple Microsoft Samsung Huawei Nokia Linux Biztonság Tudomány Facebook Videojáték Film
ga

Komoly veszélyben vannak az Apple felhasználói

Makay József2015.06.11. 14.47
Kattints ide  ➜
Bár a rosszindulatú hackereknek az esetek többségében komoly problémákkal kell szembenézniük, ha felhasználói fiókok belépési azonosítóit akarják megszerezni valamelyik nagyobb vállalattól, mégis vannak olyan esetek, amikor maga a vállalat kínálja tálcán a lehetőséget. Ezúttal az Apple tesz magasról a biztonságra – az iPhone és iPad készüléktulajdonosok legnagyobb bánatára és kárára.

A történet még januárban kezdődött, amikor egy Jan Souček nevű hacker (biztonsági kutató) felfedezte, hogy az Apple iOS mobil operációs rendszerének Mail alkalmazásában egy koncepcionális XSS (Cross-Site Scripting) sérülékenység található. Ezalatt nem kell semmilyen varázslatra, sem bináris kódokra gondolni, egyszerűen arról van szó, hogy az alkalmazás a HTML formátumú e-mailek esetén az „átirányítás utasítást” is végrehajtja, holott ezt nem illene megtennie.

A támadók könnyedén bejelentkezhetnek az Apple-fiókunkba, hozzáférve minden privát adatunkhoz, képeinkhez és videóinkhoz.



Souček még január 15-én jelezte a hibát az Apple felé, majd 3 nappal később egy videót is közzétett, amiben bemutatja, hogyan használható ez a technikailag jelentéktelennek tűnő sebezhetőség jelszavak lopására.



  1. Letöltünk valahonnan egy e-mail címlistát.

  2. A lista minden címére elküldünk egy HTML formátumú levelet, amiben a <meta http-equiv=refresh content=0;URL=[támadó weboldal] /> elemet.

  3. Az elemmel áritányíthatjuk az áldozatok Mail alkalmazásait a saját weboldalunkra.

  4. Az oldal a betöltés után egy pontosan ugyanolyan bejelentkezőablakot dob fel, mint amilyet a rendszer dobna fel lejárt határidejű bejelentkezés esetén.

  5. A felhasználók naivan megadják az iCloud bejelentkezési adataikat, viszont a valóságban nem történt semmilyen kijelentkezés és nem fog bejelentkezés sem.

  6. A beviteli mezők az általunk üzemeltetett szervernek küldik az információkat, elmentve azokat egy saját adatbázisba.


A módszer természetesen bármilyen más adat begyűjtésére használható, kezdve a jelszavaktól egészen a banki azonosítók „újra bekéréséig”.


Az ügyben még komolyabb probléma, hogy a sérülékenység jelentése óta lassan fél év telt el, viszont az Apple még mindig nem tiltotta le az ilyen jellegű eltérítés lehetőségét. Éppen ezért Souček a cég motiválása érdekében feltöltött egy kész megoldást a GitHubra, amivel lényegében bárki elvégezheti a fentebb leírtakat, jóformán csak egy PHP szervert kell telepítenie a számítógépére. Egy ilyen lépés etikusságáról persze megoszlanak a vélemények, mindenesetre az egész történet lényege az, hogy jelenleg szinte minden iPhone és iPad felhasználó veszélyben van.

Forrás: 9to5Mac
Kattints ide  ➜

Adaptív ikonok jönnek az Android 8.0 Oreóba
Tilix – Frissítették a Terminix parancssort
Itt a Samsung Galaxy S8 „számítógépes” dokkolója
Így szivárgott ki Emma Watson meztelen videója és bikinipróbája
Felkapott témák
Elképesztően drága az Apple iPhone 7+ Retro
Megérkezett és letölthető az Android 8.0
Így szivárgott ki Emma Watson meztelen videója és bikinipróbája
Mintha a Google kicsit túltolná a megfigyelést
Újabb Android 8.0 újdonságok szivárogtak ki
Snapdragon vs. Exynos – Kiderült, hogy melyik Galaxy S8 változat lesz az erősebb
Állásajánlatok
Vegyész szakértő
Packaging engineer
Requirements Manager
Tesztmérnök fejlesztési területre
IT Business Analyst - Digital Channels PB-7569
IT Demand Manager PB-7570
IT infrastruktúra üzemeltető / Local Infrastructure Specialist