OVERBLIKDramatisk dag i retten: 34-årig tilstår datatyveri mod Netcompany

Artikel top billede

Sikkerhedsfirma advarer: iOS-sårbarhed kan sende iPhone i uendelig reboot

Hvis dine iOS-apps pludselig begynder at crashe, kan din iPhone eller iPad være under angreb.

Som vi skrev onsdag er der i øjeblikket et stigende fokus på problemet med, at alt for mange apps til eksempelvis Android eller iOS har ringe eller slet ingen kryptering af kommunikationen.

Det skyldes både sjusk og manglende opmærksomhed fra udviklernes side, men også konkrete sårbarheder i en kode, der anvendes til krypteringen.

Netop en sådan sårbarhed kan nu risikere at skabe problemer for iOS-brugere. Det afslører sikkerhedsfirmaet Skycure, der leverer løsninger til mobil sikkerhed.

I et blogindlæg forklarer Skycure, hvordan selskabet i øjeblikket arbejder sammen med Apple om at løse en konkret sårbarhed i iOS 8.

Først begynder dine apps at crashe

I første omgang opdagede Skycure et problem med apps, der crashede, og det, man antog blot var dårligt app-kodearbejde, viste sig efterfølgende at være noget helt andet:

"Dybest set kan angribere ved at generere et særligt SSL-certifikat, genskabe en bug og få apps, der udfører SSL-kommunikation, til at crashe med vilje." 

Med udgangspunkt i den opdagelse udviklede sikkerhedsforskerne for at dokumentere problemet et script, der kan udnytte sårbarheden over WiFi-netværk.

"Da SSL er best practice indenfor sikkerhed og anvendes i stort set alle apps i Apples App Store, er angrebsfladen meget bred. Vi vidste, at enhver forsinkelse i forhold til at lukke sårbarheden kunne føre til alvorlige problemer for virksomheder: et organiseret denial of service (DoS)-angreb kan føre til store tab."

Skycure har derfor kontaktet Apple om problemet, og da sårbarheden endnu ikke er lukket, er det kun få detaljer om angrebsmulighederne, selskabet lægger frem i dets orientering.

Det fremgår dog, hvad konsekvensen af et angreb kan blive:

"En endnu mere interessant konsekvens af SSL-certifikat-parsing sårbarheden er, at det rent faktisk påvirker det underliggende iOS-operativsystem," skriver Skycure og fortæller, at også selve operativsystemet kan crashe under angreb.

"Endnu værre er det, at vi under visse forhold var i stand til at sende enhederne ind i en reboot-cyklus, der gentages igen og igen og kan gøre dem ubrugelige."

Sådan kan angrebet foregå

Skycure, der har døbt den nyopdagede sårbarhed "No iOS Zone", forklarer, at et angreb kan foregå ved, at angriberne opretter et falsk WiFi-netværk, som de får iOS-enhederne til at koble sig til automatisk.

Herefter kan selve angrebet sættes igang, og iOS-enhederne begynder at crashe.

"Tænk over konksekvenserne, hvis man iværksatte sådan et angreb på Wall Street eller måske i de mest travle lufthavne i verden eller store fabrikker. Resultatet ville være katastrofalt."

Mens vi venter på, at sårbarheden bliver lukket af Apple, er der en række anbefalinger til, hvad man kan gøre, hvis man oplever, at apps begynder at crashe.

Kan man komme til at frakoble sig det falske WiFi-netværk, er det naturligvis det mest effektive, men ellers kan man også flytte iPhonen eller iPad'en fysisk, så den kommer uden for rækkevidde. 

Samtidig mener Skycure, at den seneste iOS 8.3-opdatering fra Apple faktisk delvist løser problemet, så derfor skal man hente den opdatering.

Endelig lyder anbefalingen - som altid - at man undlader at forsøge at koble sig til gratis WiFi-netværk, der ser mistænkelige ud.

I de to videoer herunder forklarer Skycure, hvordan SSL-sårbarheden i iOS konkret kan komme til udtryk, hvis din enhed bliver angrebet.

Læs også:

Alvorligt problem: Både Android og iOS har apps uden ordentlig kryptering




Brancheguiden
Brancheguide logo
Opdateres dagligt:
Den største og
mest komplette
oversigt
over danske
it-virksomheder
Hvad kan de? Hvor store er de? Hvor bor de?
Fiftytwo A/S
Konsulentydelser og branchespecifikke softwareløsninger til retail, e-Commerce, leasing og mediebranchen.

Nøgletal og mere info om virksomheden
Skal din virksomhed med i Guiden? Klik her

Kommende events
Bliv klar til NIS2 - indhold, krav og konsekvenser

På dagen vil du både få et koncentreret, fokuseret overblik over de juridiske aspekter og de krav, du vil skulle leve op til. Du går også hjem med praktisk viden fra eksperter, der arbejder med NIS2-compliance på både det tekniske og organisatoriske niveau.

28. februar 2024 | Læs mere


Hybrid, on-premise eller public cloud. Bliv klogere på fremtidens datacenter

Vi dykker ned i, hvordan du finder den perfekte pasform for netop din virksomhed. Vi ser på, hvordan du kan imødekomme jeres behov for fleksibilitet og hurtig udvikling, samtidig med at håndtere udfordringerne ved cloud-tjenester.

29. februar 2024 | Læs mere


Faldgruber og forberedelser når du skal implementere Dynamics 365 FO

På dette webinar stiller vir skarpt på overvejelser, forberedelser, forretning og faldgruber, så din virksomhed får det bedste udgangspunkt for jeres Dynamics 365-implementering. Du bliver også klogere på at håndtere master data, som er et af de absolut vigtigste områder i ethvert ERP-projekt, og på hvorfor Dynamics 365 FO er en del af et samlet cloud-transformationsprojekt.

29. februar 2024 | Læs mere