IOS-lek maakt omzeilen toegangscode iPhone mogelijk
In iOS zijn verschillende kwetsbaarheden ontdekt waardoor een aanvaller met fysieke toegang tot een iPhone of iPad de toegangscode kan omzeilen en een update van Apple is nog niet beschikbaar. De lekken zijn aanwezig in iOS 9.0, 9.1 en 9.2.1 en werden door Vulnerability Laboratory ontdekt.
De kwetsbaarheden bevinden zich in links naar de Appstore, Buy More Tones en Weather Channel. Een aanvaller kan hier vervolgens via Siri, de evenementenkalender of de klok-app gebruik van maken. Zo kan een aanvaller via Siri bijvoorbeeld om een niet bestaande app vragen. Siri geeft als antwoord een link naar de Appstore. De aanvaller opent de link en krijgt een beperkt browservenster met verschillende apps te zien. Op dat moment is het via de startknop of Siri mogelijk om naar het startscherm te gaan.
In totaal hebben de onderzoekers vier scenario's uitgewerkt waarbij een aanvaller via het configuratiescherm of Siri een dergelijke aanval kan uitvoeren. "Een succesvolle aanval kan leiden tot ongeautoriseerde toegang tot het apparaat en het lekken van gevoelige gegevens zoals adresboek, foto's, sms, mms, e-mails, telefoon-app, mailbox, telefooninstellingen of toegang tot andere geïnstalleerde apps", aldus de onderzoekers.
Apple werd begin januari van dit jaar ingelicht, maar een update is nog niet beschikbaar. Om zich te beschermen adviseren de onderzoekers dat gebruikers de Siri-module permanent uitschakelen, alsmede de evenementenkalender en het openbare configuratiescherm. Daarnaast moeten ook de instellingen van de weer-app worden aangepast. In onderstaande video wordt de aanval gedemonstreerd.
Update
De website MacRumors meldt dat het niet om een kwetsbaarheid gaat, omdat de onderzoekers Siri activeren via een vingerafdruk die al op het toestel is geregistreerd. Tegenover Threatpost stelt een van de onderzoekers dat het probleem bij de standaardconfiguratie van iPhones en iPads speelt en nog steeds niet is opgelost. Via de Full Disclosure-mailinglist maakten de onderzoekers hun werk bekend. Daar is nog geen reactie op de beweringen verschenen dat het om misleiding gaat. Op Twitter maakten de onderzoekers hun werk ook bekend. Daar stelt een gebruiker dat de gedemonstreerde aanval niet op zijn toestel werkt, terwijl een ander claimt van wel.
Apple komt hoop ik dan binnenkort dan met ios 9.2.3 of zo waar deze lekken zijn gedicht.
Inmiddels zal dan de telefoon van de schutter wel toch ontgrendeld zijn.
Staat o.a. Op tweeakters.net een update hierover.
Voor een complete lijst van alle iOS versies met gelijke lekken, zie http://blog.dinosec.com/2014/09/bypassing-ios-lock-screens.html.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Chief Information Security Officer
Utrecht heeft jou nodig! Als Chief Information Security Officer speel jij een cruciale rol in de bescherming van de digitale informatie van de gemeente Utrecht. Als geen ander weet jij welke dreigingen er zijn en kun je deze vertalen naar risico's die de gemeente en haar inwoners lopen. Solliciteer nu!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
