באג iMessage מאפשר לך להיפרץ עם הודעה אחת בלבד

בכנס האבטחה של Black Hat בלאס וגאס, חוקרת Google Project Zero, נטלי סילבנוביץ', הדגימה באגים חסרי אינטראקציה בלקוח iOS iMessage של אפל שניתן לנצל כדי להשיג שליטה במכשיר של משתמש.

אפל פרסמה כמה תיקונים עבור הבאגים, אך עדיין לא מתמודדת עם כולם.

ניתן להפוך אותם לסוג של באגים שיפעילו קוד ויוכלו בסופו של דבר לשמש לדברים עם נשק כמו גישה לנתונים שלך.

אז התרחיש הגרוע ביותר הוא שהבאגים האלה משמשים כדי לפגוע במשתמשים.

סילנוביץ' עבד עם חבר Project Zero, סמואל גרוס, כדי לבדוק אם צורות אחרות של הודעות, כולל SMS, MMS ודואר קולי חזותי, נפגעו. לאחר הנדסה לאחור וחיפשה פגמים, היא גילתה מספר באגים שניתנים לניצול ב-iMessage.

הסיבה היא ש-iMessage מציעה מגוון כזה של אפשרויות ותכונות תקשורת, שגורמות לסבירות גבוהה יותר לטעויות ולחולשות - למשל Animojis, עיבוד קבצים כמו תמונות וסרטונים ושילוב עם אפליקציות אחרות, כולל Apple Pay, iTunes, Airbnb וכו'.

באג חסר אינטראקציה שבלט היה כזה שאפשר להאקרים לחלץ נתונים מהודעות של משתמש. הבאג יאפשר לתוקף לשלוח טקסטים בעלי מבנה ספציפי למטרה, בתמורה לתוכן הודעות ה-SMS או התמונות שלו, למשל.

בעוד של-iOS יש בדרך כלל הגנות שיחסמו את ההתקפה, הבאג הזה מנצל את ההיגיון הבסיסי של המערכת, כך שההגנות של iOS מפרשות אותו כלגיטימי.

מכיוון שהבאגים הללו אינם מצריכים כל פעולה מהקורבן, הם מועדפים על ידי ספקים והאקרים של מדינות לאום. סילנוביץ' מצא שהחולשות שנמצאו עשויות להיות שוות עשרות מיליוני דולרים בשוק הניצול.

באגים כאלה לא פורסמו לציבור כבר הרבה זמן.

יש הרבה משטח התקפה נוסף בתוכניות כמו iMessage. את הבאגים הבודדים קל למדי לתיקון, אבל לעולם לא תוכל למצוא את כל הבאגים בתוכנה, וכל ספרייה שתשתמש בה תהפוך למשטח התקפה. אז את בעיית העיצוב הזו קשה יחסית לתקן.

היא אמנם לא נתקלה בבאגים דומים באנדרואיד. היא גם מצאה אותם ב-WhatsApp, Facetime ובפרוטוקול ועידת הווידאו webRTC.

אולי זה תחום שמתגעגע אליו באבטחה.

יש כמות עצומה של התמקדות ביישום הגנות כמו קריפטוגרפיה, אבל זה לא משנה כמה טוב ההצפנה שלך אם לתוכנית יש באגים בצד המקבל.

Silanovich ממליצה לך לשמור על מערכת ההפעלה והאפליקציות של הטלפון שלך מעודכנות, שכן אפל תיקנה לאחרונה את כל באגי iMessage שהיא הציגה, ב-iOS 12.4 וב-macOS 10.14.6.

מקור: מצלמת אבטחה חוטי\קווי