Neveiksme operētājsistēmā iOS 8.3 ļauj nozagt mūsu paroles

Liela daļa paroļu zādzību, lielākā daļa, notiek, izmantojot sociālā inženierija. Tas nozīmē, ka pseidohakeris mūs zina pietiekami labi, lai zinātu mūsu paroles, pamatojoties uz mūsu gaumi, vēlmēm vai dzīvniekiem, partneriem, datumiem utt. Līdz divpakāpju verifikācijas pienākšanai viņi pat varēja atbildēt uz mūsu drošības jautājumiem. Bet neveiksme, par kuru mēs runāsim šajā rakstā, ir drošības trūkums, kas pastāv operētājsistēmā iOS 8.3.

Zvanīja drošības izmeklētājs jansoucek iOS ir atklājis izmantojumu, kas ļaunprātīgam lietotājam ļauj nozagt mūsu iCloud paroles. Šķiet, ka viss norāda, ka iOS 8.3 nevar veiksmīgi filtrēt potenciāli bīstamo HTML kodu, kas iestrādāts saņemtajos e-pastos. Kods koncepcijas pierādījums ko lieto jansoucek Lai izsauktu attālo HTML, kas izskatās identisks iCloud pieteikšanās logam, ir jāizmanto iepriekšminētā kļūda, lai tas mūs maldinātu paroli ievietot nepareizā vietā. Nepatiesais logs pazūd, pieskaroties “OK”.

Ir detaļas, kas ļauj identificēt, ka mēs esam šīs sistēmas upuri nozagt mūsu paroli. Jutīgā tastatūra neizslēdzas kā vajadzētu, lai, ja redzam e-pastu, kas liek ievadīt paroli, un redzam, ka jutīgā tastatūra joprojām ir aktīva, Mums būs jāiziet tikai, nospiežot sākuma pogu (mājas), kaut ko mēs nevarētu izdarīt, ja tas būtu īsts logs. Ja mēs to neapzināmies, kas arī būtu saprotams, ļaunprātīgais lietotājs varētu pārņemt kontroli pār mūsu kontu, neļaujot mums to atgūt.

Labākais veids, kā ar šo metodi novērst mūsu konta zādzību, ir ieslēdziet divpakāpju verifikāciju. Gadījumā, ja parole tiek nozagta un zaglis mēģina ievadīt no jaunas ierīces, viņam tiks jautāts, uz kuru uzticamo ierīci kods tiek nosūtīts, un, tā kā viņam to nav, viņš nevarēja nozagt mūsu kontu.

jansoucek saka, ka tā ziņoja par šo kļūdu pagājušā gada janvārī, taču vēl nav izlaists neviens plāksteris, kas to novērstu. Jebkurā gadījumā tajā ir norādīts, ka tas darbojas operētājsistēmā iOS 8.3 un ka tas vēl nav izlabots, taču tajā nav teikts, vai tas ir pieejams iOS 8.4 beta versijās vai nē. Patiesībā to jau varēja atrisināt, tāpēc šīs kļūdas publicēšana ir bezatbildīga.