Artikel top billede

Sikkerhedsfirma advarer: iOS-sårbarhed kan sende iPhone i uendelig reboot

Hvis dine iOS-apps pludselig begynder at crashe, kan din iPhone eller iPad være under angreb.

Som vi skrev onsdag er der i øjeblikket et stigende fokus på problemet med, at alt for mange apps til eksempelvis Android eller iOS har ringe eller slet ingen kryptering af kommunikationen.

Det skyldes både sjusk og manglende opmærksomhed fra udviklernes side, men også konkrete sårbarheder i en kode, der anvendes til krypteringen.

Netop en sådan sårbarhed kan nu risikere at skabe problemer for iOS-brugere. Det afslører sikkerhedsfirmaet Skycure, der leverer løsninger til mobil sikkerhed.

I et blogindlæg forklarer Skycure, hvordan selskabet i øjeblikket arbejder sammen med Apple om at løse en konkret sårbarhed i iOS 8.

Først begynder dine apps at crashe

I første omgang opdagede Skycure et problem med apps, der crashede, og det, man antog blot var dårligt app-kodearbejde, viste sig efterfølgende at være noget helt andet:

"Dybest set kan angribere ved at generere et særligt SSL-certifikat, genskabe en bug og få apps, der udfører SSL-kommunikation, til at crashe med vilje." 

Med udgangspunkt i den opdagelse udviklede sikkerhedsforskerne for at dokumentere problemet et script, der kan udnytte sårbarheden over WiFi-netværk.

"Da SSL er best practice indenfor sikkerhed og anvendes i stort set alle apps i Apples App Store, er angrebsfladen meget bred. Vi vidste, at enhver forsinkelse i forhold til at lukke sårbarheden kunne føre til alvorlige problemer for virksomheder: et organiseret denial of service (DoS)-angreb kan føre til store tab."

Skycure har derfor kontaktet Apple om problemet, og da sårbarheden endnu ikke er lukket, er det kun få detaljer om angrebsmulighederne, selskabet lægger frem i dets orientering.

Det fremgår dog, hvad konsekvensen af et angreb kan blive:

"En endnu mere interessant konsekvens af SSL-certifikat-parsing sårbarheden er, at det rent faktisk påvirker det underliggende iOS-operativsystem," skriver Skycure og fortæller, at også selve operativsystemet kan crashe under angreb.

"Endnu værre er det, at vi under visse forhold var i stand til at sende enhederne ind i en reboot-cyklus, der gentages igen og igen og kan gøre dem ubrugelige."

Sådan kan angrebet foregå

Skycure, der har døbt den nyopdagede sårbarhed "No iOS Zone", forklarer, at et angreb kan foregå ved, at angriberne opretter et falsk WiFi-netværk, som de får iOS-enhederne til at koble sig til automatisk.

Herefter kan selve angrebet sættes igang, og iOS-enhederne begynder at crashe.

"Tænk over konksekvenserne, hvis man iværksatte sådan et angreb på Wall Street eller måske i de mest travle lufthavne i verden eller store fabrikker. Resultatet ville være katastrofalt."

Mens vi venter på, at sårbarheden bliver lukket af Apple, er der en række anbefalinger til, hvad man kan gøre, hvis man oplever, at apps begynder at crashe.

Kan man komme til at frakoble sig det falske WiFi-netværk, er det naturligvis det mest effektive, men ellers kan man også flytte iPhonen eller iPad'en fysisk, så den kommer uden for rækkevidde. 

Samtidig mener Skycure, at den seneste iOS 8.3-opdatering fra Apple faktisk delvist løser problemet, så derfor skal man hente den opdatering.

Endelig lyder anbefalingen - som altid - at man undlader at forsøge at koble sig til gratis WiFi-netværk, der ser mistænkelige ud.

I de to videoer herunder forklarer Skycure, hvordan SSL-sårbarheden i iOS konkret kan komme til udtryk, hvis din enhed bliver angrebet.

Læs også:

Alvorligt problem: Både Android og iOS har apps uden ordentlig kryptering




Brancheguiden
Brancheguide logo
Opdateres dagligt:
Den største og
mest komplette
oversigt
over danske
it-virksomheder
Hvad kan de? Hvor store er de? Hvor bor de?
Despec Denmark A/S
Distributør af forbrugsstoffer, printere, it-tilbehør, mobility-tilbehør, ergonomiske produkter, kontor-maskiner og -tilbehør.

Nøgletal og mere info om virksomheden
Skal din virksomhed med i Guiden? Klik her

Kommende events
Computerworld Summit 2021

En moderne digital vindervirksomhed bringer nye teknologier i spil, skaber digital innovation, udnytter data som styringsværktøj og ser verden som én stor markedsplads. Men succes kræver, at du ved, hvor den dyre teknologi kan gøre den største forskel i forretningen. Den kræver, at du ved i hvilken retning den øgede politiske regulering af teknologi og data bevæger sig hen. Og den succes kræver, at du kan udnytte teknologien til at automatisere og skalere til gavn for bundlinjen og budgettet.

26. oktober 2021 | Læs mere


CIO Trends 2021: Sådan ser teknologiradaren ud hos Danmarks bedste CIOs

Teknologien i virksomheder spiller i den grad en større og større rolle, hvor vi er nødt til at stille endnu større krav til, hvordan vi udnytter den, og hvilke muligheder den giver. Spørgsmålet er dog, hvordan man formår at lede en virksomhed, der konstant skal forholde sig til teknologiens forandringer.

16. november 2021 | Læs mere


How to Sikkerhed: Awareness, email fraud og phishing

Man kan aldrig vide sig sikker, for uanset hvor godt man sikrer sig mod hackerangreb og anden svindel, vil hacker næsten altid være et skridt foran. De går efter organisationernes svageste led i håbet om at kunne snyde sig til data, penge eller andet værdifuldt. Få derfor konkrete bud på, hvordan du kan gribe opgaven an og understøtte et effektivt awareness-niveau i din organisation med enkel, men velfungerende, teknologi.

17. november 2021 | Læs mere