Povezivanje iPhonea sa laptopom čini telefon podložnim napadima

Mobilni telefoni, 20.04.2018, 10:30 AM

Povezivanje iPhonea sa laptopom čini telefon podložnim napadima

Prošli su dani kada se iPhone smatrao najsigurnijim pametnim telefonom na tržištu. Sve je više izveštaja koji ukazuju na slabosti ili greške koje omogućavaju pristup ličnim podacima korisnika.

Da li ste nekad iskoristili laptop prijatelja da biste napunili bateriju svog iPhonea i pri tom dobili poruku sa pitanjem da li verujete tom računaru? Ako odgovorite potvrdno, računar će moći da pristupi podešavanjima vašeg telefona i podacima dok su uređaji povezani.

Stručnjaci kompanije Symantec otkrili su bag koji može omogućiti napadaču da pristupi podacima sačuvanim na iPhoneu, da instalira malver ili čak da vidi šta se dešava na ekranu u realnom vremenu povezivanjem telefona sa laptopom kome korisnik veruje.

Metoda se zove "trustjacking" i oslanja se na način na koji iPhone rukuje sa dozvolama nakon što je povezan sa računarom.

Kada priključite iPhone na USB port računara, od vas će biti zatraženo da kažete da li verujete uređaju ili ne. Potvrdnim odgovorom ustvari dajete dozvolu za pristup podacima sačuvanim na uređaju. Time je vaš iPhone podložan ozbiljnim napadima sve dok je povezan na istu Wi-Fi mrežu na kojoj je i napadač. Naime, odobravanje pristupa iPhoneu a zatim odvajanje telefona od računara ne garantuje da ste sigurni.

Ovo otkriće su u sredu na RSA konferenciji o bezbednosti koja se održava u San Francisku prezentovala dvojica istraživača kompanije Symantec, Adi Šarabani, potpredsednik za bezbednost modernog operativnog sistema, i Roj Iarči, vođa tima za istraživanja. Njih dvojica tvrde da kada jednom date dozvolu, sve je moguće.

Prezentacija istraživača Symanteca bila je uglavnom fokusirana na funkciju iTunes Wi-Fi Sync, alat koji omogućava iOS uređajima sinhronizaciju sa desktop iTunes preko Wi-Fi. Da biste to omogućili, morate fizički povezati mobilni sa računarom, izjasniti se da iOS uređaj može verovati računaru i zatim omogućiti iTunes Wi-Fi Sync sa računara. Posle toga, ova dva uređaja mogu se sinhronizovati i komunicirati kad god su na istoj Wi-Fi mreži bez ikakvog odobrenja sa iPhonea ili iPada.

To je korisna funkcija kada se koristi onako kako je to predviđeno, ali ona može biti zloupotrebljena ako napadač na primer koristi maliciozni računar, i ako prevari ljude da povežu svoje uređaje i daju dozvolu za pristup.

Kada se uspostavi pouzdana Wi-Fi Sync veza, napadači ne samo da mogu da rade sinhronizaciju, već mogu i da instaliraju malver na telefonu, da pokrenu backup da bi prikupili podatke kao što su fotografije, informacije o aplikacijama, SMS poruke itd. Oni mogu i da gledaju ekran uređaja pomoću snimaka ekrana koji se šalju na računar napadača. A mogu se i pritajiti, toliko dugo dok se njihov status poverenja ne zaboravi i tek onda u nekoj budućnosti izvesti napad.

Šarabani kaže da su bag otkrili greškom.

"Roj je istraživao i priključio svoj iPhone na svoj računar kako bi mu pristupio. Ali slučajno je shvatio da on zapravo nije povezan sa svojim telefonom. Bio je povezan sa telefonom jednog od članova njegovog tima koji je povezao svoj mobilni uređaj sa Rojovim računarom nekoliko nedelja ranije. Tako je Roj počeo da istražuje šta bi tačno mogao da uradi ako bi bio napadač", objasnio je inženjer Symanteca.

Apple je odbio da komentariše tvrdnje istraživača Symanteca, ali se kompanija izgleda slaže sa njima.

Kada su upozorili Apple na bag koji su otkrili, kompanija je dodala još jedan zahtev u iOS 11 - zahtev za lozinku, kao deo autorizacije za novi uređaj koji dobija status pouzdanog. Međutim, Symantecovi inženjeri kažu da kompanija time zapravo nije rešila problem.

"Iako cenimo ono što je Apple preduzeo, želeli bismo da istaknemo da to ne rešava Trustjacking na celovit način", zaključio je inženjer Symanteca Roj Iarki. Istraživači kažu da je nerazumno da u potpunosti ostavite izbor korisniku, posebno zbog toga što se autorizacija nastavlja na neodređeno vreme pošto se uspostavi. Takođe, trenutno nema načina da vidite listu uređaja koji imaju status poverenja.


Prijavite se na našu mailing listu i primajte najnovije vesti (jednom dnevno) putem emaila svakog radnog dana besplatno:

Izdvojeno

Izraelska firma tvrdi da može da hakuje bilo koji iPhone i Android telefon

Izraelska firma tvrdi da može da hakuje bilo koji iPhone i Android telefon

Izraelska firma Cellebrite, poznata uglavnom po svojim alatima za otključavanje iPhonea koje prodaje vladama širom sveta, tvrdi da je razvila novi s... Dalje

Android malver zaobilazi dvofaktornu autentifikaciju da bi ukrao jednokratne lozinke

Android malver zaobilazi dvofaktornu autentifikaciju da bi ukrao jednokratne lozinke

Istraživači iz kompanije ESET otkrili su zlonamerne aplikacije koje mogu da pristupaju jednokratnim lozinkama u SMS 2FA porukama bez dozvola za pris... Dalje

Novi Android trojanac koristi push notifikacije telefona da bi odveo korisnike na sajtove gde mogu biti prevareni

Novi Android trojanac koristi push notifikacije telefona da bi odveo korisnike na sajtove gde mogu biti prevareni

Istraživači ruske firme Doctor Web otkrili su u Google Play prodavnici novog trojanca za Android koji koristi push notifikacije za preusmeravanje ko... Dalje

Huawei telefoni prikazivali reklame Booking.com na zaključanom ekranu

Huawei telefoni prikazivali reklame Booking.com na zaključanom ekranu

Huawei je uklonio reklame koje su se krajem prošle nedelje misteriozno pojavile na zaključanim ekranima nekoliko novih modela pametnih telefona. Kom... Dalje

Huawei: Ne brinite, Facebook i WhatsApp će raditi na našim telefonima

Huawei: Ne brinite, Facebook i WhatsApp će raditi na našim telefonima

Jedna od posledica zabrane za Huawei koju je vlada Sjedinjenih Država najavila sredinom maja je da kineska tehnološka kompanija više ne može da ko... Dalje