popularne komentowane nowości

popularne

Najczęściej czytane

Jak skutecznie chronić się przed DDoS? (czytane 1592 razy)
Na co zwrócić uwagę przy wdrożeniu IPS i DLP? (czytane 511 razy)
Krajowe Ramy Interoperacyjności opublikowane (czytane 438 razy)

więcej...

Biblioteka Wiedzy poleca

Office 365 - podręcznik użytkownika

Ta książka pokaże Ci, jak wykorzystać chmurowe przetwarzanie danych - a konkretnie Office 365 - aby robić więcej, współpracować łatwiej i działać...
pobierz »

Jak zwiększyć wydajność infrastruktury serwerowej oszczędzając czas i pieniądze? Nowoczesne rozwiązania serwerowe

Niniejszy dokument ma na celu zaprezentowanie sposobów na poprawę funkcjonowania i efektywności działania infrastruktury serwerowej w firmie lub...
pobierz »

Dlaczego warto korzystać z Office 365?

Jakie funkcje i możliwości Microsoft Office 365 decydują o tym, że warto wybrać to rozwiązanie zamiast tradycyjnego pakietu Office i rozwiązań...
pobierz »

Więcej bezpłatnych raportów w serwisie

powiększ tekst

AKTUALNOŚCI

Apple załata SMS-ową dziurę w iPhone?

6 lipca 2009

securitystandard

Koncern Apple prawdopodobnie pracuje już nad poprawką, usuwającą niebezpieczną lukę w zabezpieczeniach oprogramowania telefonu iPhone. Błąd - związany z obsługą wiadomości tekstowych SMS - umożliwia zdalne instalowanie i uruchamianie w telefonie niebezpiecznych aplikacji.

Lukę wykryli wspólnie Colin Mulliner oraz Charlie Miller - słynny haker, specjalizujący się w analizowaniu zabezpieczeń produktów Apple. Przypomnijmy: Miller wsławił się m.in. dwukrotnym wygraniem słynnego hakerskiego konkursu PWN2OWN (dwa razy włamał się do Macbooka wykorzystując błędy w aplikacjach Apple), a także stwierdzeniem, że Mac OS X i dołączone do niego aplikacje są pełne błędów (haker dodał jednak, że system ten jest atakowany rzadziej niż Windows, z uwagi na zdecydowanie mniejszą popularność - dlatego jego użytkownicy są mniej narażeni na ataki).

Nowy, SMS-owy atak został przedstawiony przez Millera na ubiegłotygodniowej konferencji SyScan - haker nie podał jednak szczegółowych informacji na temat błędu. Wiadomo jednak, że na razie przestępcy nie potrafią go wykorzystywać do atakowania użytkowników - odpowiednią wiedzą na temat luki oraz metod jej wykorzystania dysponują jedynie Mulliner i Miller.

Wiadomo, że błąd w zabezpieczeniach oprogramowania iPhone pozwala na wysłanie do telefonu wiadomości SMS, której odebranie automatycznie zainstaluje i uruchomi w telefonie złośliwy kod. Podczas konferencji Miller pokazał, jak SMS może błyskawicznie zawiesić oprogramowanie telefonu Apple - przyznał, że na razie nie stworzył działającego exploita, pozwalającego na instalowanie oprogramowania. Ale od razu zastrzegł też, iż na pewno jest to możliwe - wskazują na to analizy kodu przeprowadzone przez obu specjalistów.

Wśród potencjalnych przestępczych zastosowań tego błędu Miller wymienił m.in. przekształcenie zarażonego iPhone w doskonałe narzędzie szpiegowskie. Przestępca mógłby m.in. stale monitorować pozycję właściciela telefonu (dzięki danym z modułu GPS), podsłuchiwać go (poprzez włączanie mikrofonu w odpowiednich momentach) czy nawet robić zdjęcia. Oczywiście, możliwe są również inne scenariusze - np. wysyłanie SMS-ów na wysoko płatne numery telefoniczne.

Miller poinformował podczas swojej prezentacji, że powiadomił już o problemie przedstawicieli Apple (udostępnił im szczegółowe informacje na temat problemu) - firma na razie nie wydała żadnego oświadczenia w tej sprawie. Obaj hakerzy zamierzają też wkrótce szerzej omówić problem - obiecują, że zajmą się SMS-ową luką podczas swojej prezentacji na konferencji Black Hat USA w Las Vegas.

Słynny haker i krytyk zabezpieczeń produktów Apple przyznał też, że system operacyjny iPhone'a (czyli okrojona i przystosowana do potrzeb urządzenia przenośnego wersja Mac OS X) jest znacznie lepiej zabezpieczona niż desktopowy system Apple. Miller tłumaczył, że jest to zarówno wynik ograniczenia liczby funkcji (usuwając niektóre aplikacje i opcje Apple zmniejszył liczbę potencjalnych "punktów wejścia" złośliwego kodu) oraz zastosowania zabezpieczeń sprzętowych. Dodatkowymi zaletami iPhone'a jest to, że na telefonie można uruchamiać jedynie aplikacje certyfikowane przez Apple oraz to, że wszystkie programy są uruchamiane w izolowanym środowisku (to tzw. sandbox).

Zdaniem Millera, główny problem z zabezpieczeniami urządzenia związany jest z obsługą wiadomości SMS. "Krótkie wiadomości tekstowe to świetny sposób na zaatakowanie iPhone'a. Do telefonu można w ten sposób dostarczyć kod binarny. Oczywiście, obowiązuje tu limit znaków - ale bez problemu można wysłać wiele wiadomości, które zostaną później automatycznie scalone w jedną. W ten sposób do iPhone'a można wprowadzić całkiem pokaźne porcje kodu" - mówi specjalista. "Na domiar złego błąd w oprogramowaniu odpowiedzialnym za obsługę SMS pozwala napastnikowi na uzyskanie dostępu z uprawnieniami administratora" - dodaje Miller.

Przedstawiciele Apple na razie nie potwierdzili odkrycia Millera i Mullinera - z nieoficjalnych informacji wynika jednak, że firma analizuje problem i prawdopodobnie wkrótce przygotuje odpowiednie uaktualnienie.