Neuspjeh u iOS 8.3 omogućava nam krađu lozinki

Mnoge krađe lozinki, velika većina, događaju se koristeći socijalni inženjering. To znači da nas pseudo-haker poznaje dovoljno dobro da bismo znali naše lozinke na osnovu našeg ukusa, sklonosti ili životinja, partnera, datuma itd. Do dolaska potvrde u XNUMX koraka čak su mogli odgovoriti na naša sigurnosna pitanja. Ali neuspjeh o kojem ćemo govoriti u ovom članku jest sigurnosna mana koja postoji u iOS-u 8.3.

Nazvao je istražitelj sigurnosti jansoucek je otkrio exploit u iOS-u koji zlonamjernom korisniku omogućava krađu naših iCloud lozinki. Čini se da sve ukazuje na to da iOS 8.3 ne može uspješno filtrirati potencijalno opasan HTML kôd ugrađen u primljenu e-poštu. Kod dokaz-koncept šta koristi jansoucek iskorištava gore spomenutu manu da pozove udaljeni HTML koji izgleda identično prozoru za prijavu iCloud, tako da bi nas prevario da svoju lozinku postavimo na pogrešno mjesto. Lažni prozor nestaje kad dodirnete "U redu".

Postoje detalji koji nam omogućavaju da utvrdimo da smo žrtve ovog sistema da nam ukradu lozinku. Prediktivna tastatura se ne isključuje kao što bi trebalo biti, tako da ako vidimo e-poštu koja nas traži da unesemo lozinku i vidimo da je prediktivna tastatura i dalje aktivna, Morat ćemo izaći samo pritiskom na tipku start (dom), nešto što ne bismo mogli da je pravi prozor. Ako to ne shvatimo, što bi takođe bilo razumljivo, zlonamjerni korisnik mogao bi preuzeti kontrolu nad našim računom, sprečavajući nas da ga oporavimo.

Najbolji način da se ovom metodom spriječi krađa našeg računa je uključite potvrdu u XNUMX koraka. U slučaju da je lozinka ukradena i lopov je pokušao ući s novog uređaja, bio bi zamoljen na koji pouzdani uređaj je šifra poslana, a budući da ih nema, nije mogao ukrasti naš račun.

jansoucek kaže da je ovu grešku prijavio prošlog januara, ali još nije objavljena nijedna zakrpa koja bi je mogla popraviti. U svakom slučaju, navodi da radi u iOS-u 8.3 i da još nije popravljen, ali ne kaže je li prisutan u iOS-u 8.4 beta ili ne. Zapravo, to bi već moglo biti riješeno, pa je objavljivanje ove greške neodgovorno.