Jailbreak хакер и изследовател на сигурността pod2g днес разкри новооткрит проблем със сигурността във всички версии на iOS, които могат да позволят на злонамерени страни да фалшифицират SMS съобщения, карайки получателя да мисли, че съобщението е дошло от доверен подател, докато всъщност идва от злонамерената страна.
Проблемът е свързан с обработката от iOS на информацията за заглавието на потребителски данни (UDH), незадължителна секция от текстов полезен товар, която позволява на потребителите да посочат определена информация, като например промяна на номера за отговор на съобщение с нещо различно от номера за изпращане. Обработката на тази незадължителна информация от iPhone може да остави получателите отворени за целенасочени атаки за подправяне на SMS.
В текстовия полезен товар секция, наречена UDH (заглавка на потребителски данни), не е задължителна, но дефинира много разширени функции, с които не всички мобилни телефони са съвместими. Една от тези опции позволява на потребителя да промени адреса за отговор на текста. Ако мобилният телефон дестинация е съвместим с него и ако получателят се опита да отговори на текста, той няма да отговори на оригиналния номер, а на посочения.
как да промените името на macbookПовечето оператори не проверяват тази част от съобщението, което означава, че човек може да напише каквото си поиска в този раздел: специален номер като 911 или номера на някой друг.
При добро изпълнение на тази функция, получателят ще види оригиналния телефонен номер и отговора на един. На iPhone, когато видите съобщението, изглежда, че идва от номера за отговор и вие [губите] следа за произхода.
pod2g подчертава няколко начина, по които злонамерени страни биха могли да се възползват от този недостатък, включително опити за фишинг, свързващи потребителите със сайтове, събиращи лична информация или измамни съобщения с цел създаване на фалшиви доказателства или спечелване на доверието на получателя, за да позволят по-нататъшни злобни действия.
В много случаи злонамерената страна ще трябва да знае името и номера на доверен контакт на получателя, за да бъдат усилията им ефективни, но примерът за фишинг показва как злонамерени страни биха могли да хвърлят широки мрежи, надявайки се да хванат потребителите, като се преструват, че са обща банка или друга институция. Но тъй като проблемът води до това, че на получателите се показва адресът за отговор, атаката може да бъде открита или осуетена просто чрез отговор на съобщението, тъй като съобщението за връщане ще отиде до познатия контакт, а не до злонамерения.
Популярни Публикации