Luki w aplikacji iPhona. iMessage dołącza do grona "niebezpiecznych" komunikatorów?

Środowa konferencja Black Hat w Las Vegas nie daje o sobie zapomnieć. Podczas wydarzenia poinformowano o wyryciu luk w systemach Boeinga.  Również IPhone miał swoje niechlubne „5 minut” w trakcie eventu.

Jak informuje Wired.com relacjonujący wystąpienia z wydarzenia, Natalie Silvanovich reprezentująca Google Project Zero, ogłosiła o wykryciu szeregu luk w zabezpieczeniach usługi iMessage. Błędy umożliwiają włamanie do telefonu nawet bez konieczności interakcji z użytkownikiem. Silvanovich za cel swoich badań wzięła iMessage z uwagi na informacje o wykryciu krytycznej luki w zabezpieczeniach WhatsAppa umożliwiających dokładnie takie sam sposób włamania – bez konieczności nawiązania interakcji z użytkownikiem, sprawdziła czy podobne problemy ma również usługa Apple.

Jedna z wykrytych przez Silvanovich luk umożliwiała pozyskanie danych z wiadomości użytkownika. Specjalnie przygotowana wiadomość wysłana do użytkownika, wg niej, może spowodować, że serwer iMessega odeśle hakerowi określone dane użytkownika – jak wiadomości SMS czy zdjęcia. Co ważne atak nie wymaga, aby ofiara chociażby otworzyła aplikację. Inne luki wykryte przez badaczkę umożliwiają umieszczanie złośliwego kodu na telefonie ofiary, również z wykorzystaniem przychodzącej wiadomości. Łącznie Silvanovich wykryła 6 luk, których wartość wyceniła na dziesiątki miliony dolarów. Nie wszystkie z nich podano do informacji publicznej. 

Sama badaczka przyznała, że przy tego typu usługach tego rodzaju błędy nie były upubliczniane przez dłuższy czas. I jak podkreśliła, każda możliwa biblioteka danych jest potencjalnym obszarem do ataku, dlatego też przed programistami stoi duże wyzwanie przy rozwiązywaniu tego typu problemów. Jednocześnie raz jeszcze podkreśliła rolę stałej aktualizacji systemu operacyjnego i aplikacji telefonu.

Wired.com podkreśla, że iMessage jest bardzo złożoną platformą, oferuje m.in. szereg funkcji komunikacyjnych, Animojis, renderowanie plików wideo i zdjęć oraz integrację z innymi aplikacjami -Apple Pay, iTunes, Fundango (aplikacji umożliwiającej zamawianie biletów do kina) czy Airbnb.

Podczas tej samej konferencji w Las Vegas główny konsultant firmy IOActive Ruben Santamarta ogłosił również, że wykrył luki w oprogramowaniu wykorzystywanym na pokładzie samolotów Boeinga umożliwiające przejęcie kontroli nad maszyną.