O principal evento da semana passada foi um
bug no sistema operacional iOS 12 para dispositivos móveis da Apple. A função Group FaceTime, que permite organizar uma chamada em conferência com vários usuários ao mesmo tempo, pode ser usada para escutar o que está acontecendo no lado do assinante sem o seu conhecimento. Mais tarde, o Group FaceTime também pode ser usado para espionagem. Embora haja pouco benefício prático com esse método, há uma falha na proteção de dados e a Apple desativou temporariamente a capacidade de criar chamadas de áudio e vídeo em grupo.
A vulnerabilidade no FaceTime é muito semelhante a dezenas de maneiras anteriormente descobertas e fechadas de ignorar o bloqueio de tela - em todos os casos, é criada uma falha de segurança na junção de diferentes elementos do iOS. Adicionar chamadas de grupo ao messenger corporativo da Apple a princípio também levou à próxima rodada da tela de bloqueio. Em novembro, o pesquisador Jose Rodriguez conseguiu
ignorar a trava assim: ligamos para o FaceTime no telefone da vítima, atendemos a ligação (isso pode ser feito sem desbloquear), tentamos adicionar outros assinantes à conversa, o que dá acesso à agenda telefônica. O problema descoberto em janeiro acabou sendo muito mais sério.
O desvio de Lokskrina no iOS 12.1 ficou assim:
O Technology Group FaceTime foi anunciado em junho do ano passado no próximo lançamento do iOS 12. No final de outubro, a atualização ficou disponível para todos os proprietários de dispositivos Apple. Desde então, a empresa lançou três atualizações do sistema operacional que fecham não apenas um bug que ultrapassa a tela de bloqueio, mas também vários métodos de ataque DoS
descobertos por Natalie Silvanovich da equipe do Google Project Zero. Em todos os casos, uma negação de serviço foi causada por um fluxo de vídeo preparado enviado ao dispositivo de destino pelo FaceTime. As vulnerabilidades afetaram não apenas o iOS, mas também o Mac OS.
O conjunto de patches mais recente foi lançado em 22 de janeiro, mas o problema com as chamadas de grupo ainda não foi resolvido. Presumivelmente, a primeira vulnerabilidade foi descoberta acidentalmente por um jogador de 14 anos. Ele fez uma ligação para o FaceTime para jogar Fortnite juntos e descobriu que ouvia os chamadores conversando, embora ainda não tivessem atendido a ligação.
Na discussão de tweets, você pode ver o que acontece quando descobre uma séria vulnerabilidade no iOS: um bando de jornalistas voa para você. A mãe do jogador relatou o problema à Apple e ela precisou criar uma conta de desenvolvedor para enviar informações sobre a vulnerabilidade. E a vulnerabilidade se parece com isso:
Reproduzir o problema é muito simples. Você precisa ligar para outro assinante e, enquanto a chamada estiver em andamento, criar uma chamada em grupo adicionando outro participante (você pode adicionar você mesmo). Imediatamente após isso, você pode ouvir o que está acontecendo do outro lado, embora o assinante ainda não tenha atendido a chamada. Mais detalhadamente, com imagens, o diagrama é descrito
aqui , no Reddit, eles
confirmam que o assinante chamado também o ouve, embora ele ainda não tenha atendido a chamada. Em outras palavras, o microfone e o alto-falante nos dispositivos são ativados imediatamente após a chamada em conferência, não é necessário atender. Convenientemente!
28 de janeiro, a mídia escreveu sobre o problema. Em 29 de janeiro, a vulnerabilidade foi estendida às videochamadas de maneira semelhante: você precisa se adicionar a uma chamada coletiva e responder a esse convite do segundo dispositivo. Nesse caso, a câmera é ativada sem uma demanda do assinante vítima. No mesmo dia, a Apple desativou temporariamente o serviço Group FaceTime. Cerca de uma semana se passou entre o relatório inicial do problema e a solução alternativa.
Entre as grandes empresas que processam uma enorme quantidade de informações confidenciais, a Apple é considerada uma das mais confiáveis. Esse incidente é um duro golpe para a reputação, embora não pareça ser muito diferente de outros vazamentos de informações. Houve um problema, o problema foi resolvido e, se alguém quisesse explorar a vulnerabilidade, essa oportunidade existia por cerca de 24 horas. Diferentemente dos problemas de acesso a dados do Facebook, Google ou Twitter, dificilmente era possível usar o problema do Group FaceTime em larga escala. No entanto, o acesso não autorizado ao microfone e à câmera, sob qualquer forma, sempre será percebido como um problema sério, embora a ameaça real, talvez, seja representada por casos de informações pessoais em massa que caem nas mãos de pessoas e organizações incompreensíveis por um longo tempo e sem qualquer possibilidade de controle. .
Falando em massa e por muito tempo.
A história do vazamento de um banco de dados gigante de logins e senhas na semana passada
continuou . A coleção nº 1, que vazou em meados de janeiro, era apenas parte de um banco de dados ainda maior de sete arquivos. A quantidade total de dados está se aproximando de um terabyte. Obviamente, esse é um repositório impressionante de informações privadas, mas geralmente não muda nada - é necessário mudar para o uso de senhas persistentes, atualizadas regularmente e regularmente com autorização de dois fatores, independentemente do tamanho dos vazamentos.
Isenção de responsabilidade: as opiniões expressas neste resumo nem sempre coincidem com a posição oficial da Kaspersky Lab. Caros editores, geralmente recomendam tratar qualquer opinião com ceticismo saudável.