Svikt i iOS 8.3 lar oss stjele passordene våre

Mange av passordtyveriene, de aller fleste, oppstår ved bruk sosialteknikk. Dette betyr at pseudo-hackeren kjenner oss godt nok til å kjenne passordene våre basert på vår smak, preferanser eller dyr, partnere, datoer osv. Inntil ankomsten av XNUMX-trinns bekreftelse, kunne de til og med svare på sikkerhetsspørsmålene våre. Men feilen som vi skal snakke om i denne artikkelen er en sikkerhetsfeil som eksisterer i iOS 8.3.

En sikkerhetsetterforsker ringte jansoucek har oppdaget en utnyttelse i iOS som lar en ondsinnet bruker stjele iCloud-passordene våre. Alt ser ut til å indikere at iOS 8.3 ikke kan filtrere potensielt farlig HTML-kode innebygd i mottatte e-post. Koden proof of concept hva bruker jansoucek Det utnytter den nevnte feilen for å påkalle en ekstern HTML som ser identisk ut med iCloud-påloggingsvinduet, slik at det vil lure oss til å sette passordet vårt på feil sted. Det falske vinduet forsvinner når du trykker på “OK”.

Det er detaljer som lar oss identifisere at vi blir ofre for dette systemet å stjele passordet vårt. Prediktivt tastatur slås ikke av slik det skal være, slik at hvis vi ser en e-postmelding som ber oss om å skrive inn passordet, og vi ser at prediktivt tastatur fortsatt er aktivt, Vi må bare avslutte ved å trykke på startknappen (hjem), noe vi ikke kunne gjøre hvis det var et reelt vindu. Hvis vi ikke er klar over det, noe som også ville være forståelig, kan den ondsinnede brukeren ta kontroll over kontoen vår og forhindre oss i å gjenopprette den.

Den beste måten å forhindre tyveri av kontoen vår med denne metoden er slå på totrinnsbekreftelse. I tilfelle passordet ble stjålet og tyven prøvde å komme inn fra en ny enhet, ville han bli spurt om hvilken pålitelig enhet koden sendes, og siden han ikke har dem, kunne han ikke stjele kontoen vår.

jansoucek sier at det rapporterte om denne feilen i januar i fjor, men det er ennå ikke utgitt noen oppdatering for å fikse den. Uansett sier det at det fungerer i iOS 8.3 og at det ikke er løst ennå, men det står ikke om det er til stede i iOS 8.4-beta eller ikke. Egentlig kan det allerede være løst, så å publisere denne feilen er uansvarlig.