Artikel top billede

Sikkerhedsfirma advarer: iOS-sårbarhed kan sende iPhone i uendelig reboot

Hvis dine iOS-apps pludselig begynder at crashe, kan din iPhone eller iPad være under angreb.

Som vi skrev onsdag er der i øjeblikket et stigende fokus på problemet med, at alt for mange apps til eksempelvis Android eller iOS har ringe eller slet ingen kryptering af kommunikationen.

Det skyldes både sjusk og manglende opmærksomhed fra udviklernes side, men også konkrete sårbarheder i en kode, der anvendes til krypteringen.

Netop en sådan sårbarhed kan nu risikere at skabe problemer for iOS-brugere. Det afslører sikkerhedsfirmaet Skycure, der leverer løsninger til mobil sikkerhed.

I et blogindlæg forklarer Skycure, hvordan selskabet i øjeblikket arbejder sammen med Apple om at løse en konkret sårbarhed i iOS 8.

Først begynder dine apps at crashe

I første omgang opdagede Skycure et problem med apps, der crashede, og det, man antog blot var dårligt app-kodearbejde, viste sig efterfølgende at være noget helt andet:

"Dybest set kan angribere ved at generere et særligt SSL-certifikat, genskabe en bug og få apps, der udfører SSL-kommunikation, til at crashe med vilje." 

Med udgangspunkt i den opdagelse udviklede sikkerhedsforskerne for at dokumentere problemet et script, der kan udnytte sårbarheden over WiFi-netværk.

"Da SSL er best practice indenfor sikkerhed og anvendes i stort set alle apps i Apples App Store, er angrebsfladen meget bred. Vi vidste, at enhver forsinkelse i forhold til at lukke sårbarheden kunne føre til alvorlige problemer for virksomheder: et organiseret denial of service (DoS)-angreb kan føre til store tab."

Skycure har derfor kontaktet Apple om problemet, og da sårbarheden endnu ikke er lukket, er det kun få detaljer om angrebsmulighederne, selskabet lægger frem i dets orientering.

Det fremgår dog, hvad konsekvensen af et angreb kan blive:

"En endnu mere interessant konsekvens af SSL-certifikat-parsing sårbarheden er, at det rent faktisk påvirker det underliggende iOS-operativsystem," skriver Skycure og fortæller, at også selve operativsystemet kan crashe under angreb.

"Endnu værre er det, at vi under visse forhold var i stand til at sende enhederne ind i en reboot-cyklus, der gentages igen og igen og kan gøre dem ubrugelige."

Sådan kan angrebet foregå

Skycure, der har døbt den nyopdagede sårbarhed "No iOS Zone", forklarer, at et angreb kan foregå ved, at angriberne opretter et falsk WiFi-netværk, som de får iOS-enhederne til at koble sig til automatisk.

Herefter kan selve angrebet sættes igang, og iOS-enhederne begynder at crashe.

"Tænk over konksekvenserne, hvis man iværksatte sådan et angreb på Wall Street eller måske i de mest travle lufthavne i verden eller store fabrikker. Resultatet ville være katastrofalt."

Mens vi venter på, at sårbarheden bliver lukket af Apple, er der en række anbefalinger til, hvad man kan gøre, hvis man oplever, at apps begynder at crashe.

Kan man komme til at frakoble sig det falske WiFi-netværk, er det naturligvis det mest effektive, men ellers kan man også flytte iPhonen eller iPad'en fysisk, så den kommer uden for rækkevidde. 

Samtidig mener Skycure, at den seneste iOS 8.3-opdatering fra Apple faktisk delvist løser problemet, så derfor skal man hente den opdatering.

Endelig lyder anbefalingen - som altid - at man undlader at forsøge at koble sig til gratis WiFi-netværk, der ser mistænkelige ud.

I de to videoer herunder forklarer Skycure, hvordan SSL-sårbarheden i iOS konkret kan komme til udtryk, hvis din enhed bliver angrebet.

Læs også:

Alvorligt problem: Både Android og iOS har apps uden ordentlig kryptering




Brancheguiden
Brancheguide logo
Opdateres dagligt:
Den største og
mest komplette
oversigt
over danske
it-virksomheder
Hvad kan de? Hvor store er de? Hvor bor de?
KEYBALANCE A/S
Udvikling og salg af økonomisystemer samt CRM og MPS. Systemer til blandt andet maskinhandlere, vvs-branchen, vognmænd, låsesmede,handelsvirksomheder

Nøgletal og mere info om virksomheden
Skal din virksomhed med i Guiden? Klik her

Kommende events
AI & machine learning i dagligdagen – teknologi og best practice

Kunstig intelligens og machine learning er i gang med at forandre de måder, som vi arbejder på i organisationer og virksomheder - både i det store og i det små. Bliv inspireret til hvordan kan du selv udnytte dem til at gøre din organisation klogere, skarpere og mere effektiv.

06. december 2022 | Læs mere


ERP løsninger til SMV segmentet

For små og mellemstore virksomheder gemmer der sig meget store muligheder for effektivisering og data-udnyttelse i valget af ERP-system. Med det rigtige valg kan man udnytte eksempelvis machine learning, AI, procesautomatisering og meget andet på tværs af hele organisationen til blandt andet lagerstyring, produktion, distribution, intelligent afrapportering.

07. december 2022 | Læs mere


Identity & Access Management - sådan holder du din virksomhed sikker

God styring af brugerrettigheder er en af de mest effektive måder til at højne it-sikkerheden. For det kan hurtigt gå galt, hvis system-rettigheder, system-adgang og lignende ikke hele tiden opdateres. Kom og hør om erfaringer og muligheder til hurtigt og nemt hele tiden at sikre, at der er styr på brugerrettighederne i hele din organisation- også uden at genere brugerne.

08. december 2022 | Læs mere