Ang pagkabigo sa iOS 8.3 ay nagbibigay-daan sa pagnanakaw ng aming mga password

Marami sa mga pagnanakaw ng password, ang karamihan, ay nangyayari gamit ang engineering sa lipunan. Nangangahulugan ito na ang pseudo-hacker ay alam sa atin ng sapat upang malaman ang aming mga password batay sa aming kagustuhan, kagustuhan o hayop, kasosyo, petsa, atbp. Hanggang sa pagdating ng XNUMX-Step Verification, nasagot pa nila ang aming mga katanungan sa seguridad. Ngunit ang kabiguan na pag-uusapan natin sa artikulong ito ay isang kapintasan sa seguridad na mayroon sa iOS 8.3.

Tumawag ang isang security investigator Natuklasan ng jansoucek ang isang pagsasamantala sa iOS na nagpapahintulot sa isang mapanirang gumagamit na nakawin ang aming mga password sa iCloud. Tila ipinapahiwatig ng lahat na ang iOS 8.3 ay hindi matagumpay na ma-filter ang potensyal na mapanganib na HTML code na naka-embed sa mga natanggap na email. Ang code patunay ng konsepto ano ang ginagamit ng jansoucek Sinasamantala ang nabanggit na kamalian upang magpatawag ng isang liblib na HTML na mukhang magkapareho sa window ng pag-login sa iCloud, upang linlangin kami sa paglalagay ng aming password sa maling lugar. Nawala ang maling bintana kapag nag-tap ka sa "OK".

Mayroong mga detalye na pinapayagan kaming makilala na kami ay biktima ng sistemang ito upang nakawin ang aming password. Hindi nakapatay ang prediksyon na keyboard tulad ng dapat, upang kung makakita kami ng isang email na mag-udyok sa amin na ipasok ang password at nakita namin na ang mahuhulaan na keyboard ay aktibo pa rin, Kailangan lang kaming lumabas sa pamamagitan ng pagpindot sa start button (home), isang bagay na hindi namin magawa kung ito ay isang tunay na bintana. Kung hindi namin ito napagtanto, na kung saan ay maiintindihan din, maaaring kontrolin ng nakakahamak na gumagamit ang aming account, pinipigilan kaming makuha ito.

Ang pinakamahusay na paraan upang maiwasan ang pagnanakaw ng aming account sa pamamaraang ito ay i-on ang XNUMX-step na pag-verify. Kung sakaling ninakaw ang password at sinubukang ipasok ng magnanakaw mula sa isang bagong aparato, tatanungin siya sa aling mga maaasahang aparato ang code ay ipinadala at, dahil wala ang mga ito, hindi niya nakawin ang aming account.

Sinabi ni jansoucek na iniulat nito ang bug na ito noong Enero, ngunit wala pang patch na inilabas upang ayusin ito. Gayunpaman, nakasaad dito na gumagana ito sa iOS 8.3 at hindi pa ito naayos, ngunit hindi sinasabi kung mayroon ito sa iOS 8.4 na betas o hindi. Sa totoo lang, malulutas na ito, kaya't ang pag-publish ng bug na ito ay hindi responsable.