Google tarafından dün gece yapılan açıklama kötü amaçlı web siteleri casus yazılımı potansiyel olarak binlerce iPhone'a başarıyla yerleştirdi sadece bir günlük bir haber değil. Oyunu iOS güvenliği ile ilgili tamamen değiştiriyor.
Geçtiğimiz 12 yıl boyunca iOS, işletim sistemi güvenliğinde altın standart oldu; Android, macOS ve Windows geliştiricilerinin yalnızca arzu edebileceği bir standart. Jailbreak yapılmamış iPhone'larda çalışan ve vahşi ortamda bulunan iOS kötü amaçlı yazılımlarının örneklerini saymak için tek elinizin parmaklarını kullanabilirsiniz - şimdiye kadar.
Baskıcı ama oldukça zengin bir ülkede yüksek profilli bir muhalif değilseniz, sizi güvende tutması için iOS'a güvenebilirsiniz. Apple'ın antivirüs yazılımına izin vermediği ve sahip olması gerekmediği konusunda endişelenmeyebilirsiniz.
Bugün, vahşi iOS istismarlarının çalıştığı bilinenlerin sayısı hemen hemen iki katına çıktı. Birden, iOS o kadar güvenli görünmüyor. Nispeten özensiz bir ulus devlet bilgisayar korsanları grubu, iPhone'ları ikiden fazla için ayrım gözetmeden tehlikeye atabilirse yıllardır, iOS'un en son sürümlerini çalıştıran telefonlar da dahil, başka kaç tane iOS korsanlığı kampanyası var? Orada?
"Gördüğümüz bu tek kampanya için, neredeyse kesin olarak, henüz görülmemiş olanlar var," Google Project Zero blog yayını Kötü amaçlı yazılım kampanyasını ortaya çıkaran dedi.
Malwarebytes güvenlik araştırmacısı "Bu oldukça ürkütücü" diye yazdı Thomas Reed Twitter'dan. "iPhone enfeksiyonları daha korkutucu çünkü telefonunuza virüs bulaşıp bulaşmadığını uzman yardımı olmadan belirlemenin hiçbir yolu yok... ve o zaman bile, belki de değil! "
Açıkça: iPhone'unuz şimdi ne kadar güvenli? Dün olduğundan çok daha az güvenli görünüyor.
DAHA: En İyi Mac Antivirüs Yazılımı
Peki ne oldu?
Google Project Zero araştırmacısı Ian Beer, sizi yakalamak için bir dizi uzun blog yazısı dün gece 20:00 civarı Doğu saati veya gece yarısı GMT, Google'ın Tehdit Analizi Grubunun bu yılın başlarında nasıl olduğunu ayrıntılarıyla anlatıyor iPhone'a karşı "ayrım gözetmeyen sulama deliği saldırılarında" kullanılan "saldırıya uğramış web sitelerinden oluşan küçük bir koleksiyon keşfetti" kullanıcılar.
Reed, içinde bir Malwarebytes blog yayını Cuma günü daha sonra, iPhone'lara yerleştirilen casus yazılımların ne çalabileceğini özetledi - "tüm anahtarlıklar, fotoğraflar, SMS mesajları, e-posta mesajları, kişiler, notlar, ve Mesajlar, WhatsApp ve Telgraf."
Project Zero, web sitelerine ve casus yazılımlara bir göz attı, neler olduğunu anladı ve Apple'a söyledi. Apple, saldırıları bir hafta içinde mümkün kılan temeldeki kusurları Şubat ayında iOS 12.1.4 ile düzeltti. 7. (Saldırılarda kullanılan diğer kusurlar zaten düzeltilmişti, ancak bazı iPhone'lar hala bunlara karşı savunmasızdı.)
Sorun çözüldü? Kısa vadede evet. Ancak bunun, hiç kimse farkına varmadan bu kadar uzun süre devam etmesi, özellikle de Apple, gerçekten endişe verici olan şey.
Pazar değiştiren bir değişim mi?
Şu ana kadar çalışan iOS istismarlarının o kadar nadir ve pahalı olduğu düşünülüyordu ki, iyi finanse edilen ulus devlet saldırganları bile bunları yalnızca idareli ve yalnızca en üst düzey hedeflere karşı kullanabiliyordu.
Bira "için şifreli bir referans yapıyor"milyon dolarlık muhalif"tanıtım yazısında. Birleşik Arap Emirlikleri'ndeki bir insan hakları aktivistine atıfta bulunuyor ve 2016'da bir kişi tarafından bir Ziyaretçinin iPhone'unu "jailbreak" yapmak için önceden bilinmeyen bir iOS güvenlik açığını kullanan bubi tuzağı web sitesi casus yazılımların kolayca Kurulmuş.
Hedef tarafında hiçbir işlem yapılmasını gerektirmeyen ve cihazın ele geçirildiğine dair hiçbir belirti olmayan bu tür "tek tıklamayla" iOS istismarları, bir milyon dolara kadar özel olarak satıldı. Ancak raf ömürleri kısadır, çünkü keşfedilirlerse, olayında olduğu gibi hızla yamalanırlar. BAE insan hakları aktivisti - Apple, aktivistin bulup bildirmesinden üç hafta sonra istismara karşı yama yaptı o.
Yine de, Google araştırmacıları tarafından bulunan web siteleri, en az beş tek tıklamayla iOS istismarı oluşturmak için farklı şekillerde bir araya getirilmiş 14 farklı iOS güvenlik açığı kullandı ve özellikle bu sitelere çekilen hedeflenen bir veya birkaç kişinin iPhone'larına değil, siteyi ziyaret edenlerin iPhone'larına saldıran birkaç web sitesini bozdu. Siteler.
Beer, bu sitelerin "haftada binlerce ziyaretçi aldığını" tahmin ediyor. Şimdiki zamanı kullanması, sitelerin hala çalışır durumda olduğunu ima ediyor.
Ayrıca, istismarların uygulanmasının kalitesiz olduğunu da belirtti. Saldırganlar, casus yazılımlarının saldırganların sunucularına geri gönderdiği verileri şifrelemek veya verilerin gittiği sunucuları gizlemek için hiçbir çaba göstermedi. Wireshark'ın bir kopyasına sahip olan herkes, bir Wi-Fi ağı üzerinden giden şifrelenmemiş verileri "koklayabilirdi".
Kötü amaçlı yazılım araştırmacısı, "İstismarlar çok karmaşık olsa da, implant amatör saat düzeyinde bir şey" yorumunu yaptı Jake Williams bugün bir blog yazısında. "Bu, istismarların ve implantın yalnızca farklı ekipler tarafından geliştirilmediğini, aynı zamanda önemli ölçüde farklı beceri düzeylerine sahip ekipler tarafından geliştirildiğini gösteriyor."
Bu, çalışan iOS'ta milyonlarca dolar kaybetmesini umursamayan bir saldırgan grubu olabilir. istismarlar - ya da çalışan iOS istismarlarının bizim yaptığımızdan çok daha az nadir olduğuna inanmak için nedenleri olan biri düşündüm.
Apple bunu Google yerine yakalamalı mıydı?
Beer, keşif riskine rağmen, tüm bu sıfır günü halka açık bir şekilde yaymanın maliyeti saldırganlar için buna değebilirdi.
"Bu istismarların 1 milyon dolara mı, 2 milyon dolara mı yoksa 20 milyon dolara mı mal olacağı konusunda bir tartışmaya girmeyeceğim" diye yazdı. "Bu fiyat etiketlerinin tümü, tüm popülasyonların özel faaliyetlerini gerçek zamanlı olarak hedefleme ve izleme yeteneği açısından düşük görünüyor."
Ancak bu, istismarların keşfedilmesinin ne kadar sürdüğü konusunu dışarıda bırakır. Marcus Hutchins, WannaCry fidye yazılımı salgınını ünlü bir şekilde durdurdu ve dolaylı bir sonuç olarak hapis cezasına çarptırıldı, Apple'ın topu düşürmüş olabileceğini düşünüyor.
"Belki bir şeyi kaçırıyorum, ancak Apple bunu kendisinin bulması gerektiğini düşünüyor," Hutchins Twitter'da yazdı. "Hata ödülleri harika ve hepsi ama iyi telemetri" - kendi yazılımınızın bir ağda ne yaptığını görme yeteneği - çok daha önemlidir. "
Tom's Guide ile yaptığı bir sohbette Malwarebytes'ten Thomas Reed, Apple'ın bunu yapamayabileceğini söyledi.
Reed bize "Apple'ın bunu fark edip edemeyeceğinden emin değilim, çünkü iOS üzerindeki kontroller o kadar kısıtlayıcı ki, cihazdaki bir enfeksiyona neredeyse hiç görünmez hale getiriyor," dedi. "Elbette, Apple'a geri gönderilen telemetri, Apple'ı uyarmış olabileceğinin farkında olmadığım bir durum olabilir... ancak Apple'ın mahremiyet konusundaki tavrı göz önüne alındığında, sanmıyorum. "
Reed, bu görünürlük eksikliğinin sorunun bir parçası olduğunu da sözlerine ekledi. Android'in aksine, iOS hemen hemen bir kara kutudur. Güvenlik araştırmacıları bunu analiz etmekte zorlandılar ve iOS kullanıcılarının cihazlarındaki dosya sisteminin neye benzediğine ve hatta cihazlarının ne kadar RAM ile geldiğine dair hiçbir fikri yok.
"Bunun iki yıldır görülmemiş olması gerçeği oldukça anlatıyor ve bence ilginç bir hikaye anlatıyor" diye ekledi. "Apple, iOS cihazlarının taranmasına hiçbir şekilde izin vermiyor, ancak bu mümkün olsaydı, muhtemelen bu iki yıl sürmeyecekti."
Yahoo ve Facebook'ta eski güvenlik başkanı ve şimdi Stanford'da profesör olan Alex Stamos, Apple'ın şeffaflık eksikliğini ve iOS ekosisteminin neredeyse tamamen kontrolü - şimdiye kadar yüksek güvenlik standartlarını korumak için gerekli görülen iki şey.
"Bu olaydan öğrenilecek pek çok şey var, ancak bunlardan biri, rekabete aykırı iOS App Store politikalarının güvenlik maliyeti," Stamos tweet'ledi. "Chrome / Brave / Firefox’un varsayılan WebKit / JS’yi kullanması gerekiyor [iOS üzerinde çalışacak, bu da onları yalnızca Safari’nin dış görünümlü sürümleri haline getirecek]. Apple, kullanıcıları korumak için gerekli çabayı göstermeyecekse, başkalarının bunu yapmasına izin vermeleri gerekir. "
"90'ların sonundaki Microsoft korkusunun son noktasını gösteren şirketin Apple olması çok ironik," Stamos katma.
Microsoft'un 20 yıl önce suçlandığı ve bugün muhtemelen Apple için geçerli olan üç şeyi listeledi: " "Apple'ın iOS uygulaması gelirinde% 30'luk kesinti", "otokrasiler adına içerik denetimi" gibi platform kontrolü - Apple işbirliği yaptı Çin hükümeti ile sansür - ve sonuçları dünkü sonuçları görebileceğimiz "monokültür yazılım riski" konusunda açıklama.
Peki bunu nasıl düzelteceğiz?
Sonuç olarak, iOS'un artık açıkça bir güvenlik sorunu var. Bunu söylemeyi hiç beklemiyordum, ancak iOS güvenliği çoktan parçalanmıştı - farklı bir Google Project Zero seti bu yazın başlarında iMessage'daki birçok kusuru ortaya çıkardı.
Reed'e, Apple'ın, Android gibi iOS cihazlarda üçüncü taraf virüsten koruma yazılımlarına izin vermeyi isteyip istemeyeceğini sorduk.
"Aslında iOS üzerinde çalışan bir virüsten koruma yazılımının yanıt olduğunu düşünmüyorum," diye yanıtladı. "Yalnızca Apple'ın bunu onaylayacağını düşünmüyorum, aynı zamanda iOS geliştiricilerinin eline potansiyel olarak tehlikeli yetenekler sunacak.
"Bence daha iyi olacağını düşündüğüm şey, bir iOS'ta dosya sistemine erişmek için bazı Apple onaylı araçlar olacaktır. Reed, bunun bile ancak sıkı kontrol koşulları altında mümkün olması gerektiğini belirterek, "dedi.
Uzun vadede, iOS'un o kadar güvenli olmadığının bilinmesi iyi bir şey olabilir. Apple da bunu biliyor gibi görünüyor - bu ayın başlarında, onaylı araştırmacılara özel iPhone'lara erişim verin bu, hacklenmesi daha kolay olacaktı ve bağımsız araştırmacıların keşfettiği iOS kusurlarındaki "böcek ödülünü" maksimum 1,5 milyon dolara çıkardı.
Dün geceki açıklamalar, Apple'ın şeffaflığı artıran kararlarına yeni bir ışık tuttu. Belki de Apple artık kendi tarafında hackerlara ihtiyacı olduğunun farkındadır.
- Apple iPhone'ların Neden Antivirüs Yazılımına İhtiyacı Yok?
- En İyi Şifreli Mesajlaşma Uygulamaları
- Sürpriz! iOS Uygulamaları Güvenlikte Android Kadar Kötü (Rapor)