Hacker de jailbreak și cercetător în securitate pod2g astăzi a dezvăluit o problemă de securitate recent descoperită în toate versiunile de iOS care ar putea permite părților rău intenționate să falsifice mesajele SMS, făcându-l pe destinatar să creadă că un mesaj a venit de la un expeditor de încredere atunci când de fapt a venit de la partea rău intenționată.
Problema este legată de gestionarea de către iOS a informațiilor User Data Header (UDH), o secțiune opțională a unei încărcături de text care permite utilizatorilor să specifice anumite informații, cum ar fi schimbarea numărului de răspuns dintr-un mesaj cu altceva decât numărul de trimitere. Manipularea de către iPhone a acestor informații opționale ar putea lăsa destinatarii deschiși la atacuri de falsificare prin SMS-uri.
În sarcina de text, o secțiune numită UDH (User Data Header) este opțională, dar definește o mulțime de funcții avansate cu care nu sunt compatibile toate telefoanele mobile. Una dintre aceste opțiuni permite utilizatorului să schimbe adresa de răspuns a textului. Dacă mobilul de destinație este compatibil cu acesta, iar receptorul încearcă să răspundă la text, nu va răspunde la numărul inițial, ci la cel specificat.
cum să anulați abonamentele la aplicații iPhoneMajoritatea transportatorilor nu verifică această parte a mesajului, ceea ce înseamnă că cineva poate scrie orice dorește în această secțiune: un număr special, cum ar fi 911, sau numărul altcuiva.
Într-o implementare bună a acestei caracteristici, destinatarul ar vedea numărul de telefon original și cel de răspuns. Pe iPhone, când vezi mesajul, pare să provină de la numărul de răspuns și [pierzi] urma originii.
pod2g evidențiază mai multe moduri prin care părțile rău intenționate ar putea profita de acest defect, inclusiv încercările de phishing care leagă utilizatorii de site-uri care colectează informații personale sau falsifică mesaje în scopul de a crea dovezi false sau de a câștiga încrederea unui destinatar pentru a permite acțiuni nefaste ulterioare.
În multe cazuri, partea rău intenționată ar trebui să cunoască numele și numărul unui contact de încredere al destinatarului pentru ca eforturile lor să fie eficiente, dar exemplul de phishing arată cum părțile rău intenționate ar putea lansa rețele largi, sperând să atragă utilizatorii pretinzând că sunt o bancă comună sau altă instituție. Dar, cu problema care duce la afișarea destinatarilor adresa de răspuns, un atac ar putea fi descoperit sau zădărnicit pur și simplu prin răspuns la mesaj, deoarece mesajul de retur ar merge mai degrabă către contactul familiar decât pe cel rău intenționat.
Posturi Populare