Fel i iOS 8.3 låter oss stjäla våra lösenord

Många av lösenordsstölderna, de allra flesta, förekommer med socialteknik. Det betyder att pseudo-hackaren känner oss tillräckligt bra för att känna till våra lösenord baserat på vår smak, preferenser eller djur, partners, datum etc. Fram till ankomsten av tvåstegsverifiering kunde de till och med svara på våra säkerhetsfrågor. Men misslyckandet som vi kommer att prata om i den här artikeln är ett säkerhetsfel som finns i iOS 8.3.

En säkerhetsutredare ringde jansoucek har upptäckt ett utnyttjande i iOS som gör att en skadlig användare kan stjäla våra iCloud-lösenord. Allt verkar indikera att iOS 8.3 inte lyckas filtrera potentiellt farlig HTML-kod inbäddad i mottagna e-postmeddelanden. Koden bevis på koncept vad använder jansoucek Det utnyttjar den ovannämnda felet för att åberopa en fjärr HTML som ser identisk ut med iCloud-inloggningsfönstret, så att det skulle lura oss att sätta vårt lösenord på fel plats. Det falska fönstret försvinner när du trycker på “OK”.

Det finns detaljer som gör att vi kan identifiera att vi är offer för detta system att stjäla vårt lösenord. Prediktivt tangentbord stängs inte av som det borde vara, så om vi ser ett e-postmeddelande som uppmanar oss att ange lösenordet och vi ser att det prediktiva tangentbordet fortfarande är aktivt, Vi behöver bara avsluta genom att trycka på startknappen (hem), något vi inte kunde göra om det var ett riktigt fönster. Om vi ​​inte inser det, vilket också skulle vara förståeligt, kan den skadliga användaren ta kontroll över vårt konto och hindra oss från att återställa det.

Det bästa sättet att förhindra stöld av vårt konto med denna metod är aktivera tvåstegsverifiering. I händelse av att lösenordet stulits och tjuven försökte komma in från en ny enhet, skulle han tillfrågas till vilken pålitlig enhet koden skickas och eftersom han inte har dem kunde han inte stjäla vårt konto.

jansoucek säger att det rapporterades om detta fel i januari förra året, men ingen patch har ännu släppts för att åtgärda det. Hur som helst står det att det fungerar i iOS 8.3 och att det inte har fixats ännu, men det står inte om det finns i iOS 8.4 betas eller inte. Egentligen kunde det redan vara löst, så att publicera detta fel är oansvarigt.