Selhání v systému iOS 8.3 nám umožňuje ukrást naše hesla

Mnoho krádeží hesel, převážná většina, se vyskytuje pomocí sociální inženýrství. To znamená, že pseudo-hacker nás zná dost dobře na to, aby znal naše hesla na základě našich vkusů, preferencí nebo zvířat, partnerů, dat atd. Až do příchodu dvoufázového ověření byli dokonce schopni odpovědět na naše bezpečnostní otázky. Selhání, o kterém si v tomto článku povíme, je bezpečnostní chyba, která existuje v iOS 8.3.

Volal bezpečnostní vyšetřovatel jansoucek objevil zneužití v iOS, které umožňuje uživateli se zlými úmysly ukrást naše hesla iCloud. Zdá se, že vše naznačuje, že iOS 8.3 nemůže úspěšně filtrovat potenciálně nebezpečný HTML kód vložený do přijatých e-mailů. Kód ověření konceptu co používá jansoucek Využívá výše zmíněnou chybu k vyvolání vzdáleného kódu HTML, který vypadá stejně jako přihlašovací okno iCloud, takže by nás podvedl k tomu, abychom své heslo vložili na špatné místo. Falešné okno zmizí, když klepnete na „OK“.

Existují podrobnosti, které nám umožňují zjistit, že se stáváme oběťmi tohoto systému ukrást naše heslo. Prediktivní klávesnice se nevypne jak by mělo být, takže když uvidíme e-mail, který nás vyzve k zadání hesla, a zjistíme, že prediktivní klávesnice je stále aktivní, Budeme muset opustit pouze stisknutím tlačítka Start (Domů), něco, co bychom nemohli udělat, kdyby to bylo skutečné okno. Pokud si to neuvědomíme, což by bylo také pochopitelné, mohl by uživatel se zlými úmysly převzít kontrolu nad naším účtem a zabránit nám v jeho obnovení.

Nejlepší způsob, jak zabránit krádeži našeho účtu touto metodou, je zapněte dvoufázové ověření. V případě, že bylo heslo odcizeno a zloděj se pokusil vstoupit z nového zařízení, byl by dotázán, na které důvěryhodné zařízení je kód odeslán, a protože je nemá, nemohl nám ukrást účet.

jansoucek říká, že nahlásil tuto chybu loni v lednu, ale zatím nebyl vydán žádný patch, který by ji opravil. Mimochodem uvádí, že funguje v systému iOS 8.3 a že ještě nebyl opraven, ale neříká, zda je v beta verzi iOS 8.4 přítomen nebo ne. Ve skutečnosti by to už mohlo být vyřešeno, takže zveřejnění této chyby je nezodpovědné.