Η αποτυχία στο iOS 8.3 μας επιτρέπει να κλέψουμε τους κωδικούς πρόσβασης

Πολλές από τις κλοπές κωδικού πρόσβασης, η συντριπτική πλειοψηφία, συμβαίνουν χρησιμοποιώντας κοινωνική μηχανική. Αυτό σημαίνει ότι ο ψευδο-χάκερ μας γνωρίζει αρκετά καλά για να γνωρίζει τους κωδικούς πρόσβασης με βάση τις προτιμήσεις μας, τις προτιμήσεις ή τα ζώα, τους συνεργάτες, τις ημερομηνίες κ.λπ. Μέχρι την άφιξη της επαλήθευσης σε XNUMX βήματα, ήταν ακόμη σε θέση να απαντήσουν στις ερωτήσεις ασφαλείας μας. Αλλά η αποτυχία για την οποία πρόκειται να μιλήσουμε σε αυτό το άρθρο είναι ένα ελάττωμα ασφαλείας που υπάρχει στο iOS 8.3.

Κάλεσε έναν ερευνητή ασφαλείας Η jansoucek ανακάλυψε ένα πλεονέκτημα στο iOS που επιτρέπει σε έναν κακόβουλο χρήστη να κλέψει τους κωδικούς πρόσβασης iCloud. Όλα δείχνουν ότι το iOS 8.3 δεν μπορεί να φιλτράρει επιτυχώς δυνητικά επικίνδυνο κώδικα HTML που είναι ενσωματωμένος σε ληφθέντα email. Ο κώδικας απόδειξη της έννοιας τι χρησιμοποιεί το jansoucek Εκμεταλλεύεται το προαναφερθέν ελάττωμα για να επικαλεστεί ένα απομακρυσμένο HTML που μοιάζει με το παράθυρο σύνδεσης iCloud, ώστε να μας ξεγελάσει να βάλουμε τον κωδικό πρόσβασής μας σε λάθος μέρος. Το λανθασμένο παράθυρο εξαφανίζεται όταν πατήσετε "OK".

Υπάρχουν λεπτομέρειες που μας επιτρέπουν να αναγνωρίσουμε ότι είμαστε θύματα αυτού του συστήματος για να κλέψουμε τον κωδικό πρόσβασής μας. Το πληκτρολόγιο πρόβλεψης δεν απενεργοποιείται όπως θα έπρεπε, έτσι ώστε αν δούμε ένα email που μας ζητά να εισαγάγουμε τον κωδικό πρόσβασης και να δούμε ότι το πληκτρολόγιο πρόβλεψης είναι ακόμα ενεργό, Θα πρέπει να βγούμε μόνο πατώντας το κουμπί έναρξης (σπίτι), κάτι που δεν θα μπορούσαμε να κάνουμε αν ήταν πραγματικό παράθυρο. Εάν δεν το καταλάβουμε, κάτι που θα ήταν επίσης κατανοητό, ο κακόβουλος χρήστης θα μπορούσε να πάρει τον έλεγχο του λογαριασμού μας, εμποδίζοντας μας να τον ανακτήσουμε.

Ο καλύτερος τρόπος για να αποτρέψουμε την κλοπή του λογαριασμού μας με αυτήν τη μέθοδο είναι ενεργοποιήστε την επαλήθευση σε XNUMX βήματα. Σε περίπτωση που ο κωδικός πρόσβασης είχε κλαπεί και ο κλέφτης προσπάθησε να εισέλθει από μια νέα συσκευή, θα του ζητηθεί σε ποια αξιόπιστη συσκευή αποστέλλεται ο κωδικός και, επειδή δεν τον έχει, δεν θα μπορούσε να κλέψει τον λογαριασμό μας.

Ο jansoucek λέει ότι ανέφερε αυτό το σφάλμα τον περασμένο Ιανουάριο, αλλά δεν έχει ακόμη κυκλοφορήσει κανένα patch για να το διορθώσει. Τέλος πάντων, δηλώνει ότι λειτουργεί στο iOS 8.3 και ότι δεν έχει επιδιορθωθεί ακόμη, αλλά δεν λέει εάν υπάρχει στα iOS 8.4 betas ή όχι. Στην πραγματικότητα, θα μπορούσε ήδη να επιλυθεί, οπότε η δημοσίευση αυτού του σφάλματος είναι ανεύθυνη.