Открыты двери для вредоносного кода на iOS
Выявленный дефект подсистемы безопасности мобильной платформы Apple iOS позволяет замаскированному вредоносному программному обеспечению, способному к краже пользовательских данных, обходить строгие меры безопасности магазина приложений App Store.
Чарли Миллер, известный хакер и эксперт по безопасности, обнаружил способ проводить вредоносные приложения на витрины App Store, используя уязвимость в Apple-политиках подписывания кода. Ничего не подозревающий пользователь загружает казалось бы нормальную программу, которая затем крадет его данные, притом что злоумышленник попутно может взять под свой контроль некоторые iOS-функции.
Как поясняет хакер, политики Apple на подписывание кода разрешают выполнять только одобренные команды в памяти iOS-устройств, а те приложения, которые не следуют правилам, не разрешены к выставлению в App Store. Между тем выявленная уязвимость позволяет приложению загружать неразрешенные команды, забирая их с дистанционного компьютера.
Дефект проявился, когда Apple выпустила iOS 4.3, которая увеличила скорость веб-браузера, разрешив JavaScript-коду из Интернета запускаться на более глубоком уровне в памяти устройства. В обмен на прибавку скорости Apple создала новое исключение для веб-обозревателя, позволяющее тому выполнять не получивший одобрения код. Найденная затем ошибка дала возможность расширить действие исключения за пределы Safari, применив его к приложениям из App Store.
Чарли Миллер написал пример вредоносной программы Instastock, демонстрирующей уязвимость. Instastock, представляющая собой безвредный биржевой тикер и одобренная цензорами App Store, умеет связываться с дистанционным сервером, загружая оттуда неавторизованные Apple команды. Программа умеет отсылать своему создателю контакты адресной книги, фотографии и прочие файлы, а также активировать iOS-возможности вроде вибрации.
Как только Apple об этом стало известно, Чарли Миллер был незамедлительно исключен из ее девелоперской программы. Эксперт растерянно сообщил, что при Стиве Джобсе подобного никогда бы не случилось.
© СОТОВИК