Найден способ исполнять неавторизованные команды на iPhone и iPad

Найден способ исполнять неавторизованные команды на iPhone и iPad

Один из основных рубежей обороны мобильных устройств Apple от вредоносного программного обеспечения - это специфическая политика работы с приложениями: запускаться и затем успешно работать в памяти устройства могут только те программы, которые получили одобрение компании и имеют соответствующую электронную подпись. Исследователь Чарли Миллер, однако, нашел способ обойти этот контур защиты.


На следующей неделе на Тайване пройдет конференция SysCan, на которой специалист более подробно расскажет о своем открытии. Пока известно, что его метод внедрения вредоносных программ основан на эксплуатации изъяна в ограничительном механизме подписывания кода; этот механизм, как уже было сказано выше, разрешает запускать и исполнять на iPhone и iPad только те программы, которые были одобрены Apple. Злонамеренное использование такой уязвимости позволяет без ведома пользователя получать с удаленного сервера и отправлять на исполнение произвольные команды по усмотрению взломщика.

Есть, правда, одно "но": злоумышленнику все равно придется сначала доставить на устройство пользователя вредоносный агент, получивший одобрение в App Store. Г-н Миллер, впрочем, сумел это сделать: в качестве демонстрации он создал невинно выглядящий программный продукт, предназначенный якобы для отображения биржевых котировок, и получил одобрение на его размещение в магазине. "Тайный" функционал приложения под названием Instastock включал возможность соединения с удаленным сервером и получения инструкций от автора программы. Все команды, получаемые с сервера, исполнялись уже в обход ограничительных механизмов подписывания кода, так что потенциальный злоумышленник мог производить широкий спектр манипуляций с устройством - от включения виброзвонка до хищения личных сведений.

По словам исследователя, первые шаги к раскрытию уязвимости он сделал после выпуска iOS 4.3. Специалист обнаружил, что в целях повышения быстродействия Интернет-обозревателя Apple разрешила исполнение JavaScript-кода с внешних сетевых ресурсов на более глубоком уровне, нежели во всех предыдущих выпусках своей мобильной ОС. Особое программное исключение позволило браузеру использовать часть памяти устройства для запуска неавторизованных сценариев, что прежде было невозможным. Вскоре г-н Миллер обнаружил ошибку безопасности, допускающую применение этого исключения не только для обозревателя Интернета, но и вообще для любого приложения, установленного на телефоне или планшете.

Apple пока не дала комментариев по инциденту, но приняла оперативные меры: удалила концепт-вирус из магазина и аннулировала лицензию его разработчика.

Forbes

Письмо автору

ЦОДы мощностью от 500 кВт могут получить защиту от принудительного переноса

Земельные участки с крупными центрами обработки данных могут получить особую защиту от изъятия под государственные и муниципальные нужды. Предложение вошло в проект дорожной карты «Гильотина 2.0» по направлению ЦОД. Запрет планируют ввести с 15 декабря 2027 года.

Под защиту предлагают взять ЦОДы мощностью от 500 кВт, включённые в российский реестр дата-центров, выяснили «Ведомости».

Поправки должны не позволить отправить работающий объект под снос ради комплексного развития территории. ЦОД всё-таки не гараж: разобрать его вечером и перевезти на соседний участок не получится.

Но отрасль уже спорит об условиях. Ассоциация участников отрасли ЦОД считает порог в 500 кВт необоснованным: стандартизированного способа отделить ИТ-нагрузку от общей электрической мощности пока нет. Привязку к реестру там тоже критикуют. Участие в нём добровольное, поэтому защита может достаться не всем объектам.

В Координационном совете ЦОД порог поддерживают: гарантия должна распространяться прежде всего на крупные и сложные для замены площадки. Если освободить землю всё же необходимо, инициатору застройки предлагают предоставить равноценный участок или оплатить его создание.

Компенсацией за стены и серверные стойки дело не ограничится. В возмещение хотят включить строительство нового ЦОДа, перенос оборудования и ИТ-нагрузки, резервирование мощностей, прокладку линий связи и электросетей, а также потери от досрочного расторжения договоров с клиентами.

Инициативу поддержали РТК-ЦОД, МТС и «Мегафон», но операторы также выступают против обязательной привязки к реестру.

Вопрос особенно болезненный для Москвы: местные ЦОДы заполнены примерно на 95%, свободных энергомощностей почти нет, а новые площадки всё чаще приходится строить в регионах. В таких условиях снести работающий дата-центр — значит не просто освободить участок, а попробовать перевезти кусок цифровой инфраструктуры вместе со всеми её клиентами. Дорого, долго и с отличными шансами что-нибудь уронить.

RSS: Новости на портале Anti-Malware.ru