nebezpečné iOS aplikace

Šéfredaktor a spoluzakladatel portálu NINIT.cz. Zájmově se řadí k fanouškům nových technologií a widgetů. Kariéru v oblasti žurnalistiky nastartoval jako sloupkař sekce novinky a poradna.

Nebezpečné iOS aplikace zranitelné vůči útokům hlavně přes WiFi vznikly s největší pravděpodobností díky nedůsledným vývojářům. Jedná se totiž pouze o špatně nastavený síťový kód, který nyní akceptuje i neautorizovaný TLS (Transport Layer Security) certifikát.

Díky této chybě se však případný útočník může bez větších obtíží dostat mezi oběť a server odesláním svého vlastního certifikátu. Podle toho, o jakou aplikace se jedná, se pak může dostat k informacím jako je vaše emailová adresa, přihlašovací údaje a jiné. V horším případě se však může dostat k informacím o vašem bankovním účtu a následně se k němu přihlásit. Mezi zranitelnými aplikacemi totiž jsou i ty bankovní. V tomto případě se však naštěstí jedná o bankovní aplikace z Puerto Rica a Libye.

Objevitel chyby – Will Strafach

Will Strafach (CEO – Sudo Security Group) pomocí firemního bezpečnostního systému verify.ly scanováním objevil 76 aplikací. Přes svůj iPhone s iOS 10 otestoval stovky aplikací, kdy pomocí proxy vždy vložil neautorizovaný TLC certifikát v probíhajícím připojení a čekal, zda ho aplikace pustí dál. Objevené nebezpečné iOS aplikace pak dále dělí do třech kategorií a to na nízké, střední a vysoké ohrožení.

Aplikace se středním a vysokým ohrožením, kde jsou po úspěšném útoku k dispozici např. přihlašovací údaje, zatím Strafach nezveřejnil s tím, že první kontaktuje vývojáře daných aplikací s upozorněním, aby chybný kód opravili. Dle jeho slov se totiž jedná o opravu v rozmezí dvou tří řádků. Současně s tím společnosti nabádá k opatrnosti při vkládání TLC kódu do jejich aplikací. Určitě by je totiž neměl vkládat vývojář, který danému kódu úplně nerozumí. Nejedná se totiž pouze o zkopírování zdrojového kódu a následné vložení do dané aplikace. Musí se také nastavit potřebné certifikáty, se kterými bude aplikace dále pracovat.

Nebezpečné iOS aplikace jmenovitěnebezpečné iOS aplikace app store

Mezi nebezpečné iOS aplikace se zařazením „nízké ohrožení“ pak patří například kecálek ooVoo, Snap Upload pro Snapchat, Uconnect Access, Tencent Cloud, Trading 212 Forex & Stocks a jiné. Zde se však případný útočník získá maximálně emailovou adresu či kontaktním údajů uživatele. Ty se sice také dají jistým způsobem zneužít, avšak poškozený uživatel není bezprostředně po útoku nijak ohrožen, jako by tomu bylo v případě získání přihlašovacích údajů do online bankovnictví.

Apple chybu neopraví

Will Strafach dále zmiňuje fakt, že se nejedná i chybu Applu, ale o chybu samotných vývojářů zranitelných aplikací. Apple by sice mohl přepsat TLC certifikát tak, aby opravil chybu poškozených aplikací. Tím by ale poškodil všechny zbylé, které jsou nastavené správně. Tudíž chybu musí opravit samotní vyvojáři daných aplikací, protože již v počátku chybně nastavili svůj TLC protokol.

Než vývojáři chybu opraví, můžeme vám maximálně doporučit, abyste zmíněné aplikace, nebo i ty, kterých by se to mohlo případně týkat, nepoužívali na veřejných WiFi sítích. Pokud potřebujete akutně něco vyřídit, tak WiFi vypněte a použijte radši vaši 3G/4G síť. I na tu se sice může případný útočník dostat, ale již by k tomu potřeboval ne příliš cenově dostupná nelegální zařízení. A i s nimi by mu to dalo více práce, než užitku. Tudíž je v této síti případný útok téměř vyloučen.

 

Zdroje: 1, 2, 3, 4