ستقوم سرعة "صفر يوم" في نظامي التشغيل iOS و OS X بسرقة جميع البيانات من Apple Keychain

<

كشف متخصصون من جامعة إنديانا ومعهد جورجيا للتكنولوجيا خلال دراسة لأنظمة تشغيل أبل عن ما يسمى بالتهديد "يوم الصفر". قد يؤدي ضعف أمان البرامج هذا إلى سرقة جميع الرموز السرية للمستخدمين ، نظرًا لأن خدمة Apple Keychain ، التي تخزن أزواج من تسجيلات الدخول وكلمات المرور ، يتم اختراقها.

وفقا للسجل ، أبلغ الباحثون أبل عن نقاط الضعف مرة أخرى في أكتوبر من العام الماضي. ردا على ذلك ، طلبت شركة آبل ستة أشهر لعدم نشر تفاصيل حول "الثقب" ولتمكين المتخصصين في الشركة من حل المشكلة. في فبراير 2015 ، كان العمل من أجل القضاء على الخطر لا يزال جارياً ، وربما تم تمديد الوقف الاختياري للنشر.

وفقا لموظفي الجامعة ، تمكنوا من اختراق آلية تبادل البيانات الجديدة بين صناديق رمل التطبيقات. في نظام التشغيل iOS 8 ، سمحت شركة Apple للبرامج المعزولة سابقًا بنقل معلومات الحساب إلى بعضها البعض ، وبالتالي سهّلت عملية تفويض مستخدم في تطبيقات تابعة لجهات خارجية. لقد تم استغلال هذه الفرصة من قبل خبراء الأمن الأمريكيين ، حيث قاموا أولاً بإنشاء تطبيقات خاصة ثم سرقة كلمات المرور من منتجات App Store و Mac App Store الأخرى من خلالها. والمثير للدهشة ، لم يكن لدى المشرفين على متجر تطبيقات Apple أي أسئلة عندما تمت الموافقة على البرامج الضارة ، وتم وضع برامج تجريبية للفيروسات في كلا المتجرين.

تفاعل مطورو التطبيقات الشائعة التي تتعامل مع صفائف كلمات المرور بشكل مختلف مع الثغرة الأمنية. لذلك ، صرح منشئ 1Password أنه لا يرى وسيلة للدفاع عن نفسه من استغلال وجدت. ويمكن أن يتوقف الفريق المسؤول عن أمان متصفح Chromium تمامًا عن دعم Apple Keychain في متصفح Chrome لنظامي التشغيل iOS و OS X.

تجدر الإشارة إلى أنه على الرغم من الخطر الظاهر ، لا تسمح الثغرة الأمنية بالوصول التلقائي إلى جميع كلمات المرور في نفس الوقت. تمامًا مثل الفيروسات الأخرى على نظامي التشغيل iOS و OS X ، يتطلب هذا القرصنة بعض الإجراءات من المستخدم نفسه. سيحتاج الشخص إلى إدخال اسم مستخدم وكلمة مرور بمفردهم. في هذه الحالة ، سيتم استبدال نافذة التفويض بزيف ، ولن تذهب البيانات إلى التطبيق ، ولكن إلى المهاجمين.

تقريبا نفس الطريقة من سرقة كلمة السر وقد أظهرت مؤخرا من قبل متخصص أمني آخر. ربما يكون قد استغل نفس الضعف الذي يعاني منه موظفو الجامعات الأمريكية. صحيح ، في الوقت الحالي ، اقتصر على نافذة المصادقة على iCloud ، على الرغم من أنه صرح بأنه من الممكن تزوير أي نافذة منبثقة. على أي حال ، بعد انتظار رد من شركة Apple لعدة أشهر ، نشر هذا الشخص بالفعل وصفًا مفصلاً للثغرة على الويب ، ويمكن للمتطفلين استخدامها في أي وقت.

لا يمكن أن تكون النصائح الوحيدة المتعلقة بالأمان في هذا الموقف سوى عبارات قياسية حول تثبيت التطبيقات من المستخدمين الموثوق بهم وقراءة الرسائل حصريًا من جهات الاتصال المألوفة.

بواسطة

<

المشاركات الشعبية