Rotte appels bedreigen iPhone-gebruikers
Een gebrekkige controle bij Apple's App Store zorgt ervoor dat iPhone-gebruikers kwaadaardige applicaties kunnen downloaden die hun persoonlijke gegevens stelen en zelfs de gebruiker bespioneren. Volgens de Zwitserse onderzoeker Nicolas Seriot faalt Apple in het stoppen van "rotte appels" in de App Store. Elke week verschijnen er duizenden nieuwe programma's die gebruikers kunnen downloaden. Eenmaal geïnstalleerd hebben de applicaties toegang tot allerlei vertrouwelijke informatie, zoals locatie, activiteiten, interesses en vrienden. Tijdens de Blackhat Conferentie demonstreerde Seriot gisteren hoe een onschuldig lijkende applicatie persoonlijke gegevens kan stelen zonder dat de gebruiker dit weet.
SpyPhone
Als bewijs maakte de onderzoeker een programma genaamd SpyPhone, dat de laatste twintig zoekopdrachten in Safari, YouTube geschiedenis, e-mail inloggegevens en allerlei andere zaken kan achterhalen. Tevens is het een keylogger die alle informatie uit de keyboard cache kan lezen. Bij het goedkeuren van een applicatie kijkt Apple voornamelijk naar inconsistenties in de user interface, ongedocumenteerde functies en malware. Maar met 10.000 programma's per week zal er uiteindelijk toch malware doorheen glippen, aldus Seriot.
Hij weet niet precies hoe Apple controleert, maar merkt op dat dit waarschijnlijk dynamische en statistische analyse is. Beide zijn met de juiste programmeer trucs te omzeilen. Vorig jaar werd bekend dat er inderdaad foute applicaties in omloop waren, die informatie van gebruikers lekten. "Consumenten moeten beseffen dat de iPhone beveiliging verre van perfect is en dat via de App Store gedownloade software nog steeds schadelijk is." Gebruikers moeten volgens hem regelmatig de cache van de zoekopdrachten en keyboard legen. Al een jaar geleden waarschuwde de onderzoeker Apple, die een gedeeltelijke oplossing uitbracht. Volgens Seriot is het probleem niet zo eenvoudig te patchen, aangezien het meer om een ontwerpfout gaat.
Kop in het zand
"Vanwege de populariteit van de iPhone zal dit een gigantisch probleem worden", zegt Randy Abrams van anti-virusbedrijf ESET. Apple zou volgens hem een deel van het risico kunnen oplossen door beveiligingssoftware voor de iPhone toe te staan. "Maar Apple blijft de kop in het zand steken en weigert iPhone anti-malware applicaties." Alleen anti-phishing programma's staat 'Cupertino' toe. De 99 dollar die de iPhone developer kit kost zal de meeste hobby virusschrijvers op afstand houden, merkt Abrams op. Met name iPhone-gebruikers die elke willekeurige app downloaden, lopen volgens hem risico. Daarnaast doen gebruikers er verstandig aan om regelmatig updates te installeren. "Maar ik denk dat veel iPhone-gebruikers niet eens hun iPhone aan de computer hangen, en dat is voor zover ik weet nodig om sommige zeer ernstige lekken te dichten die Apple heeft gepatcht."
Het klinkt alsof er iemand graag (onzinnige?) antivirus software wil verkopen op de iphone
Hierdoor is je iphone kwetsbaar voor rogue accesspoints.
Je iphone broadcast continue naar de accesspoints waar jij ooit een verbinding mee heeft gehad. Het is zeer eenvoudig om deze broadcasts automatisch af te luisteren en direct daarvan een rogue accesspoint voor aan te maken. Hierna zal de iphone om jou te plezieren fijntjes je mail binnen gaan halen. Al het verkeer loopt nu dus via de rogue accesspoint terwijl hij in je jaszakje zit...
En toch zo heeft bijna iedereen wel eens verbinding gemaakt met een onbeveiligde accesspoint...
Hierdoor is je iphone kwetsbaar voor rogue accesspoints.
Je iphone broadcast continue naar de accesspoints waar jij ooit een verbinding mee heeft gehad. Het is zeer eenvoudig om deze broadcasts automatisch af te luisteren en direct daarvan een rogue accesspoint voor aan te maken. Hierna zal de iphone om jou te plezieren fijntjes je mail binnen gaan halen. Al het verkeer loopt nu dus via de rogue accesspoint terwijl hij in je jaszakje zit...
De iPhone broadcast niet. hij luistert uit. Dat houdt dus in, dat hij alleen contact maakt met een accesspoint waarvan jij als gebruiker hem eerder toegestaan hebt contact mee te maken.
Overigens: accesspoints zijn redelijk stabiel qua lokatie. Ik kan me zo voorstellen dat er 80-90% meer mailpolling plaatsvindt via 3G
Neem daar ook de push technologie bij: die gaat definitely via de provider.
Ik denk dat je spijkers op laag water zoekt.
Ja. geen enkel probleem.
Het probleem is juist dat Apple controle voert! Door de apps via de "officiele Apple goedgekeurde" winkel te verkopen wordt er geimpliceerd dat Apple de apps gecontroleerd en goedgekeurd heeft, dus dat Apple min of meer garant staat voor deze apps (dat is vast niet zo, maar geen hond leest de algemene voorwaarden). Het zou me niets verbazen als ze zich hier nog eens lelijk aan branden.
Juist door zo streng controle te houden worden malware makers gedwongen om hun spul door Apple's controle te sneaken. Anders zouden ze die wel op louche sites aanbieden zoals dat bij PC-malware ook gebruikelijk is.
...
Ik denk dat je spijkers op laag water zoekt.
Het is altijd erg makkelijk om af te zeiken, en heb er totaal geen probleem mee als het terecht is, maar zorg eerst dat je zelf weet waar je het over hebt!
Elk wireless device broadcast, dit mechanisme zorgt ervoor dat wanneer je in de buurt van jouw bekende accesspoint komt (bijvoorbeeld thuis), er een verbinding opgezet wordt.
Het probleem is dan ook niet dat dit gebeurd (dit gebeurd dus overal), maar het feit dat je het niet uit kan zetten (tenzij je wifi uitzet) en/of je onbeveiligde profielen niet kan verwijderen.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
