threatpost - Raziskovalec z vzdevkom pod2g je odkril ranljivost v vseh verzijah iOS od prvih iphonov do zadnjih izdaj, ki omogočaprikaz lažne številke pošiljatelja kratkega sporočila (SMS). Z izkoriščanjem te ranljivosti lahko napadalec pošlje sporočilo, ki se zdi, kot da je prišlo z druge številke. Ker se žetoni in kode prek SMS-ov izkoriščajo za nekatere vrste identifikacije, tudi v nekaterih izvedbah e-bančništva, lahko tako napadalci povzročijo precej škode.
Za pošiljanje SMS-ov se vsebina z ostalimi parametri vred pretvori v niz bajtov po standardu PDU (Protocol Description Unit). Poleg teksta je v bloku podatkov še cel kup drugih informacij, med drugim tudi sekcija UDH (User Data Header). Gre za relativno napredno storitev, ki je operaterji ne preverjajo in je vsi mobilni telefoni ne podpirajo, Applovi iphoni pa jo. V UDH je mogoče nastaviti tudi, da je privzeti naslov za odgovor (reply-to address) na sporočilo drugačen od pošiljateljevega. Telefoni običajno te funkcije sploh ne podpirajo. Implementacija v iPhonu pa je pomanjkljiva, saj telefon prav naslov za odgovor prikaže kakor izvorno številko. To je problem, saj je mogoče z ustrezno programsko opremo naslov za odgovor nastaviti na poljubno številko.
Tako lahko napadalci prejemnika sporočila pretentajo, da ga je poslal nekdo drug. S se odpirata dva vektorja napada - prvič je mogoče to izkoristiti pri avtentifikaciji prek telefona (e-bančništvo, pristop v Gmail itd.), po drugi strani pa je precej lažji socialni inženiring. Napaka je v iPhonu že od prve verzije in v zadnji še vedno ni popravljena. Avtor bloga Apple poziva, da jo do končne izdaje iOS 6 vendarle popravi. Izjave iz Cupertina še ni.
težka luknja, skoraj vsak bulk sms ponudnik ti omogoča pošiljanje s poljubne cifre, pa ni treba nič hekat
Tu se gre za spremenitev naslova kamor bo prejemnik poslal odgovor.
Pri spreminjanju Caller ID pri odgovoru na SMS pošlješ na isto številko nazaj. Pri tem, pa lahko napadalec določi številko, na katero bo prišel odgovor, tebi se pa prikazuje samo CID.
In a good implementation of this feature, the receiver would see the original phone number and the reply-to one. On iPhone, when you see the message, it seems to come from the reply-to number, and you [lose] track of the origin.
Vidi se torej samo stevilka na katero odpisujes, torej za "zrtev" enaka fora kot sms poslan s spleta, kar je se veliko bolj enostavno za uporabo in deluje na vseh telefonih..
Apple je očitno implementiral večji del standarda kot konkurenca, ampak še vedno je pa to pomankljivost naprave in ne protokola ("Reply To" številka se prikaže kot "From"). Zgleda kot da se je nekdo na "spodnjem nivoju" precej potrudil in podprl več kot bi bilo nujno treba, na UI layerju pa na to niso pomislili. To, da se da spoofanje izvorne telefonske doseči tudi na druge načine, ne omili tega, da ima napaka vpliv tudi z vidika varnosti in bi jo zato morali čim prej zakrpati.
1)nic niso implementiralo bolje kot drugi...ker je kot lepo pise v novici implementirano NAROBE. Ce gradis hiso in prehitis soseda s tem, da mas streho pod hiso...pac nisi implementiral hise hitreje kot sosed.MKAY? 2)ce preberem novico ne vidim problema v tej porazno pateticni implementaciji s strani appla.
S se odpirata dva vektorja napada - prvič je mogoče to izkoristiti pri avtentifikaciji prek telefona (e-bančništvo, pristop v Gmail itd.), po drugi strani pa je precej lažji socialni inženiring.
Kako bos to zlorabil?...seriously? Pofejkat bankine cifre NE mores. Ce ti jo rata pofejkat in das v reply to address svojo cifro...bo tisti, ki je prejel sms(vsaj glede na novico) videl TVOJO cifro. Se prav edini nacin, da pofejkas banko je, da pofejkas cifro posiljatelja kot je blo omenjeno zgoraj v komentarju. In tud v tem primeru nisi dosegel nicesar, ker bo sel reply nazaj na cifro od banke. Tko da resno...kako lahko to "izkoristis". Precen senzacionalen naslov al sm jst kj narobe prebral.
Posljes nekaj SMSjev z vsebino "Odkrili smo sumljivost aktivnost na vesem racunu. Zaradi suna zlorabe osebnih podatkov Vas prosimo, da spremenite svoje geslo za dostop do Vasega racuna. Svetujemo vam da sporocite vase uporabnisko ime, staro geslo in novo geslo na tole.cist.zares.ni.scam@gmail.com, saj je racunalnik, s katerega dotopate do racuna, verjetno okuzen" ali nekaj takega. Sej vsi ne bojo odgovorili, nekaj jih bo pa 100%.
Tole v petih minutah. Nekdi ki ima cas in voljo izkorscat takele zadeve, se ziher zna spomnit kej veliko bolj nesramnega.
Statistically 3 out of 4 involved usually enjoy gang-bang experience.
Posljes nekaj SMSjev z vsebino "Odkrili smo sumljivost aktivnost na vesem racunu. Zaradi suna zlorabe osebnih podatkov Vas prosimo, da spremenite svoje geslo za dostop do Vasega racuna. Svetujemo vam da sporocite vase uporabnisko ime, staro geslo in novo geslo na tole.cist.zares.ni.scam@gmail.com, saj je racunalnik, s katerega dotopate do racuna, verjetno okuzen" ali nekaj takega. Sej vsi ne bojo odgovorili, nekaj jih bo pa 100%.
Tole v petih minutah. Nekdi ki ima cas in voljo izkorscat takele zadeve, se ziher zna spomnit kej veliko bolj nesramnega.
To lahko pocnes ze brez te napake. V obeh primerih torej racunas na neumnost uporabnika, ki naj bi posiljal podatke na nek xy naslov, ki nima nobene povezave z banko. Ta napaka ti cisto nic ne olajsa zgornjega in si na istem kot ce preko kksnega afriskega sms providerja(kot je omenjeno v komentarju zgoraj) posljes fake sms. Se pravi smo se zmeraj pri prevec senzacionalisticnem opisovanju "luknje".
Apple takes security very seriously. When using iMessage instead of SMS, addresses are verified which protects against these kinds of spoofing attacks. One of the limitations of SMS is that it allows messages to be sent with spoofed addresses to any phone, so we urge customers to be extremely careful if they're directed to an unknown website or address over SMS.
In komentar Engadgeta na koncu: Even if you aren't on an iPhone, we'd like to remind you to be careful when texting. There are numerous services out there that let you send a message that appears to be from anybody you like -- regardless of what model, OS or even carrier the recipient is using. All the more reason to think twice before filing that loan application over SMS.
Heh, saj vse skupaj ne bi bilo nič posebnege, če ne bi japčk propagande svojih produktov snoval ravno na pluvanju konkurence. No zdaj so izpadli šalabajzerji, njihovi uporabniki, ki so se petelinili nad neizmerljivo "kvaliteto" njihovih igračk, pa nategnjeni naivci (dodal bi še "s precej podpovprečnim IQjem").
Human beings, who are almost unique in having the ability to learn from the
experience of others, are also remarkable for their apparent disinclination
to do so.
No zdaj so izpadli šalabajzerji, njihovi uporabniki, ki so se petelinili nad neizmerljivo "kvaliteto" njihovih igračk, pa nategnjeni naivci (dodal bi še "s precej podpovprečnim IQjem").
Zaradi ene malenkosti so izpadli šalabajzerji? Prosim te no, to je pa res malenkost. Zagovornike produktov pa imaš tako pri napravah Appla, kot tudi tistih od drugih proizvajalcev.
Heh, saj vse skupaj ne bi bilo nič posebnege, če ne bi japčk propagande svojih produktov snoval ravno na pluvanju konkurence. No zdaj so izpadli šalabajzerji, njihovi uporabniki, ki so se petelinili nad neizmerljivo "kvaliteto" njihovih igračk, pa nategnjeni naivci (dodal bi še "s precej podpovprečnim IQjem").
Bi se na tvojem mestu zamislu nad svojim IQjem...bee bee...pa pozabu si napisat se "gnilo jabolko"...bee bee
