Sikkerhedsfirma advarer: iOS-sårbarhed kan sende iPhone i uendelig reboot

Hvis dine iOS-apps pludselig begynder at crashe, kan din iPhone eller iPad være under angreb.

Som vi skrev onsdag er der i øjeblikket et stigende fokus på problemet med, at alt for mange apps til eksempelvis Android eller iOS har ringe eller slet ingen kryptering af kommunikationen.

Det skyldes både sjusk og manglende opmærksomhed fra udviklernes side, men også konkrete sårbarheder i en kode, der anvendes til krypteringen.

Netop en sådan sårbarhed kan nu risikere at skabe problemer for iOS-brugere. Det afslører sikkerhedsfirmaet Skycure, der leverer løsninger til mobil sikkerhed.

I et blogindlæg forklarer Skycure, hvordan selskabet i øjeblikket arbejder sammen med Apple om at løse en konkret sårbarhed i iOS 8.

Først begynder dine apps at crashe
I første omgang opdagede Skycure et problem med apps, der crashede, og det, man antog blot var dårligt app-kodearbejde, viste sig efterfølgende at være noget helt andet:

"Dybest set kan angribere ved at generere et særligt SSL-certifikat, genskabe en bug og få apps, der udfører SSL-kommunikation, til at crashe med vilje." 

Med udgangspunkt i den opdagelse udviklede sikkerhedsforskerne for at dokumentere problemet et script, der kan udnytte sårbarheden over WiFi-netværk.

"Da SSL er best practice indenfor sikkerhed og anvendes i stort set alle apps i Apples App Store, er angrebsfladen meget bred. Vi vidste, at enhver forsinkelse i forhold til at lukke sårbarheden kunne føre til alvorlige problemer for virksomheder: et organiseret denial of service (DoS)-angreb kan føre til store tab."

Skycure har derfor kontaktet Apple om problemet, og da sårbarheden endnu ikke er lukket, er det kun få detaljer om angrebsmulighederne, selskabet lægger frem i dets orientering.

Det fremgår dog, hvad konsekvensen af et angreb kan blive:

"En endnu mere interessant konsekvens af SSL-certifikat-parsing sårbarheden er, at det rent faktisk påvirker det underliggende iOS-operativsystem," skriver Skycure og fortæller, at også selve operativsystemet kan crashe under angreb.

"Endnu værre er det, at vi under visse forhold var i stand til at sende enhederne ind i en reboot-cyklus, der gentages igen og igen og kan gøre dem ubrugelige."

Sådan kan angrebet foregå
Skycure, der har døbt den nyopdagede sårbarhed "No iOS Zone", forklarer, at et angreb kan foregå ved, at angriberne opretter et falsk WiFi-netværk, som de får iOS-enhederne til at koble sig til automatisk.

Herefter kan selve angrebet sættes igang, og iOS-enhederne begynder at crashe.

"Tænk over konksekvenserne, hvis man iværksatte sådan et angreb på Wall Street eller måske i de mest travle lufthavne i verden eller store fabrikker. Resultatet ville være katastrofalt."

Mens vi venter på, at sårbarheden bliver lukket af Apple, er der en række anbefalinger til, hvad man kan gøre, hvis man oplever, at apps begynder at crashe.

Kan man komme til at frakoble sig det falske WiFi-netværk, er det naturligvis det mest effektive, men ellers kan man også flytte iPhonen eller iPad'en fysisk, så den kommer uden for rækkevidde. 

Samtidig mener Skycure, at den seneste iOS 8.3-opdatering fra Apple faktisk delvist løser problemet, så derfor skal man hente den opdatering.

Endelig lyder anbefalingen - som altid - at man undlader at forsøge at koble sig til gratis WiFi-netværk, der ser mistænkelige ud.

I de to videoer herunder forklarer Skycure, hvordan SSL-sårbarheden i iOS konkret kan komme til udtryk, hvis din enhed bliver angrebet. Læs også:

Alvorligt problem: Både Android og iOS har apps uden ordentlig kryptering





Brancheguiden
Brancheguide logo
Opdateres dagligt:
Den største og
mest komplette
oversigt
over danske
it-virksomheder
Hvad kan de? Hvor store er de? Hvor bor de?
Jobindex Media A/S
Salg af telemarketing og research for it-branchen, it-kurser og konferencer

Nøgletal og mere info om virksomheden
Skal din virksomhed med i Guiden? Klik her

Kommende events
Fuel your IT with the best-kept secret in IBM

It takes massive computing power to accurately calculate weather forecasts – and to secure that people and businesses are able to access detailed information about whether it is going to rain, shine, storm, or snow. In this seminar, you will have the chance to hear the British Met Office describe how they do exactly that.

28. januar 2021 | Læs mere


Sandheden om Schrems II – erhvervslivets nye Cuba-krise

Konsekvenserne af Schrems II kan meget vel gå hen og blive en af de største udfordringer for danske virksomheder i 2021. Så tjek ind på denne onlinebriefing, hvor den hemmelige Schrems II gæst, ComplyCloud og Datatilsynet giver dig indsigt i, hvad dommen i virkeligheden handler om, og hvilke menneskelige hensyn der ligger bag.

29. januar 2021 | Læs mere


GDPR i dagligdagen: Fokus på Datatilsynets nye strategi ”Tilsyn med effekt” og Schrems II

GDPR er ikke statisk. Nu øger Datatilsynet GDPR-kontrollen med ny strategi i tre faser. Strategien har fået navnet 'Tilsyn med effekt', og med den åbner Datatilsynet op for et nyt koncept. Derudover er der med Schrems II kommet flere EU-retningslinjer, som man skal tage stilling til.

09. februar 2021 | Læs mere






Premium
Test: Dette smartwatch er som skabt til at krydse Gobi-ørkenen – men det fungerer også fint herhjemme
Garmin Instinct Solar er et af de første smart-ure, som slet ikke behøver at blive opladet – det har sin fordele og naturligvis også sine begrænsinger.
Computerworld
Biden sender skjult besked til kode-folket: "Hvis du læser dette, har vi brug for din hjælp”
En stående invitation er blevet opdaget i kildekoden på Det Hvide Hus' hjemmeside. Men den er kun til de eksperter, der selv kan finde den.
CIO
Podcast: Her er seks gode råd om ledelse og digitalisering fra danske top-CIO'er
The Digital Edge: Vi har talt med 17 af Danmarks dygtigste digitale ledere - og samlet deres seks bedste råd om digitalisering og ledelse. Få alle rådene på 26 minutter i denne episode af podcasten The Digital Edge.
White paper
Overser du muligheder for at optimere din Dynamics-investering?
Der er omfattende og ofte oversete muligheder for at understøtte centrale forretningsprocesser med Dynamics 365 Finance & Operations. For eksempel i form af fuld EDI-integration, som optimerer logistik og forsyning. Eller ved at automatisere håndteringen af konsignation eller centrale processer vedrørende elektronisk dokumentflow og dropshipping. Læs mere i dette whitepaper, der også går i dybden med fire konkrete cases.