Neuspeh v iOS 8.3 omogoča krajo naših gesel

Veliko kraj gesel, velika večina, se zgodi z uporabo socialni inženiring. To pomeni, da nas psevdo-heker pozna dovolj dobro, da pozna naša gesla glede na naš okus, želje ali živali, partnerje, datume itd. Do prihoda preverjanja v dveh korakih so lahko celo odgovorili na naša varnostna vprašanja. Toda neuspeh, o katerem bomo govorili v tem članku, je varnostna napaka, ki obstaja v iOS 8.3.

Klical je varnostni preiskovalec jansoucek je v sistemu iOS odkril podvig, ki zlonamernemu uporabniku omogoča, da nam ukrade gesla za iCloud. Zdi se, da vse kaže, da iOS 8.3 ne more uspešno filtrirati potencialno nevarne kode HTML, vdelane v prejeta e-poštna sporočila. Koda dokazilo koncepta kaj uporablja jansoucek Zgoraj omenjena napaka izkorišča oddaljeni HTML, ki je videti identičen prijavnemu oknu iCloud, tako da bi nas prevaral, da bi svoje geslo postavili na napačno mesto. Lažno okno izgine, ko tapnete »V redu«.

Obstajajo podrobnosti, ki nam omogočajo, da ugotovimo, da smo žrtve tega sistema da nam ukradejo geslo. Predvidena tipkovnica se ne izklopi kot bi moralo biti, tako da če vidimo e-poštno sporočilo, ki nas pozove k vnosu gesla, in vidimo, da je predvidevalna tipkovnica še vedno aktivna Zapustiti bomo morali samo s pritiskom na gumb za zagon (domov), česar ne bi mogli storiti, če bi šlo za pravo okno. Če se tega ne zavedamo, kar bi bilo tudi razumljivo, bi lahko zlonamerni uporabnik prevzel nadzor nad našim računom in nam preprečil njegovo obnovitev.

Najboljši način za preprečevanje kraje našega računa s to metodo je vklopite preverjanje v dveh korakih. V primeru, da je bilo geslo ukradeno in je tat poskusil vstopiti iz nove naprave, bi ga vprašali, kateri zaupanja vredni napravi je poslana koda, in ker jih nima, nam ni mogel ukrasti računa.

jansoucek pravi, da je o tej napaki poročal lani januarja, vendar še ni izdan noben popravek, ki bi ga odpravil. Kakor koli že, navaja, da deluje v iOS 8.3 in da še ni popravljen, vendar ne piše, ali je prisoten v iOS 8.4 beta ali ne. Pravzaprav bi ga že lahko rešili, zato je objava te napake neodgovorna.