Lähde: Iltalehti
Applen käyttöjärjestelmistä löytyi ammottava aukko - "vakavat seuraukset"
Kiinalaistutkijoiden ryhmä paljasti haavoittuvuuden, jonka kautta Applen kauppoihin ujutettu sovellus voi varastaa salasanoja ja muita tietoja toisista sovelluksista.
Apple on rakentanut itselleen kova maineen turvallisen elektroniikan valmistajana, jonka asiakkaiden ei tarvitse juuri huolehtia tietoturvastaan tai haittaohjelmista.
Nyt tuo maine on kokenut kolauksen useissa yliopistoissa työskentelevien kiinalaisten tutkijoiden julkaisemasta raportista, jonka mukaan Applen ekosysteemiin on mahdollista julkaista sovelluksia, jotka varastavat käyttäjien salasanoja ja muita tietoja toisista sovelluksista. Asiasta uutisoi ensimmäisenä Ars Technica.
Applen laadunvalvonta on alan tiukimman maineessa, mutta kiinalaistutkijat onnistuivat tästä huolimatta julkaisemaan Applen kaupassa omia haittasovelluksiaan, joilla pystyttiin varastamaan tietoja.
- Seuraukset ovat vakavia. Uusimmalla Mac OS X:llä sovelluksemme vei onnistuneesti käyttäjätunnuksia iCloudista, sähköpostista ja sosiaalisista medioista, varoitetaan raportissa.
Tutkijat onnistuivat koejärjestelyssä varastamaan salasanoja ja tunnisteita muun muassa 1Password- ja Evernote-sovelluksista. Lisäksi tutkijat pystyivät anastamaan sovelluksista sisältöä, kuten valokuvia.
XARA-hyökkäys
Kiinalaisten menetelmää kutsutaan XARA-hyökkäykseksi (Cross-Application Resource Access). Se käyttää hyväkseen tapaa, jolla sovellukset jakavat tietoja Applen käyttöjärjestelmissä. Apple itse torjuu tällaisia haavoittuvuuksia "hiekkalaatikoilla", joiden on tarkoitus rajoittaa sovelluksia vaikuttamasta toisiinsa, mutta kiinalaiset onnistuivat ohittamaan nämä suojaukset.
Tutkijat tiedottivat löydöksistään etukäteen Applelle ja sovellusten kehittäjille. 1Password-sovelluksen Jeffrey Golberg kommentoi asiaa blogikirjoituksessa. Goldbergin mukaan kiinalaisten esittelemän kaltaiselta hyökkäykseltä on hyvin vaikea suojautua täydellisesti, vaikkakin vain pieni osa sovelluksen tiedoista on sen ulottuvilla.
- Heidän hyökkäyksensä ei pääse käsiksi kaikkeen 1Passwordin dataan, vaan ainoastaan siihen, mikä liikkuu selaimen ja 1Password Mini -sovelluksen välillä. Täten se kerää samoja tietoja kuten esimerkiksi selaimen haittalisäke, Goldberg sanoo.
Goldbergin mukaan kyse ei ole vain tiettyjä sovelluksia koskettavasta ongelmasta, vaan laajemmasta Applen käyttöjärjestelmän suunnittelun heikkoudesta, jolle kaikki sovellukset ovat alttiita.
Haavoittuvuus koskee sekä Applen mobiilialustojen iOS-käyttöjärjestelmää että pöytäkoneiden OS X:ää.