Apple снова следит за пользователями мобильных устройств

Apple снова следит за пользователями мобильных устройств

 В iPhone 5, впрочем как и любом мобильном устройстве под управлением iOS 6, не только по умолчанию реализована функция слежения за пользователями в интересах рекламодателей и маркетологов, но и максимально усложнена процедура отказа от просмотра целевой рекламы, и отслеживания активности пользователей.

После того, как Apple запретила отслеживать пользовательскую активность своих клиентов при помощи системы UDID, в основном, чтобы избежать обвинений в нарушении конфиденциальности, была создана и внедрена совершенно новая система отслеживания пользовательской активности. Система называется IFA и, по словам руководителей ряда компаний, работающих в сфере мобильной рекламы, является наиболее эффективным инструментом подобного рода, созданным на сегодняшний день. Эксперты компании Apsalar сравнивают её с "постоянными куки." Эта система позволяет заинтересованным сторонам получить наиболее точные данные о покупательских привычках пользователей мобильных устройств. Специалисты утверждают, что новая система не так сложна, как старая, которая вообще не позволяла пользователям отключить функцию слежения. Но тот факт, что Apple сделала процедуру отключения данной функции достаточно сложной, сводит на нет весь положительный эффект от внедрения системы IFA, с точки зрения сохранения конфиденциальности пользовательской активности.

Основная разница между UDID и IFA состоит в том, что при использовании системы IFA, пользователи могут отключить функцию отслеживания активности как полностью, так и частично, отключая лишь отдельные функции системы слежения, по мере их активации. Однако, следует отметить, что оба эти процесса достаточно сложны и потребуют от пользователей совершить гораздо больше действий, чем хотелось бы большинству из них. Например, как утверждают специалисты компании TrustE, «чтобы отключить функцию слежения полностью, пользователям придётся стереть свои устройства для удаления ID», это довольно экстремальный аналог процесса очистки куки в браузере. В мобильных устройствах под управлением iOS 6 присутствует опция ограничения функции слежения, но она скрыта глубоко в настройках телефона. Её нет в настройках конфиденциальности, хотя её размещение в данном разделе настроек было бы логичным. К тому же, по умолчанию данная опция отключена. Это означает, что телефон будет следить за пользователями. Включить опцию можно в разделе «Меню»: «о программе» (about), нажав на маленький виджет «реклама» (advertising).

Детальную инструкцию по включению опции, позволяющей ограничить функцию отслеживания пользовательской активности, можно найти на сайте Business Insider.

Критическая уязвимость в telnetd жила почти 10 лет и давала root-доступ

Исследователь по информационной безопасности Саймон Йозефссон обнаружил критическую уязвимость в компоненте telnetd, входящем в состав GNU InetUtils. Брешь незаметно существовала почти десять лет — с мая 2015 года — и позволяла удалённо входить в систему без аутентификации, сразу под пользователем root.

Проблема затрагивает все версии GNU InetUtils с 1.9.3 по 2.7 включительно. По сути, любой злоумышленник при определённых условиях мог получить полный контроль над системой, даже не зная пароля.

Как поясняет Йозефссон, сервер telnetd запускает системную утилиту /usr/bin/login, обычно от имени root, и передаёт ей имя пользователя. В уязвимой реализации это имя можно получить из переменной окружения, переданной клиентом.

Если клиент подсовывает значение -f root и подключается к серверу с опцией telnet -a (режим автологина), происходит следующее:

  • telnetd передаёт значение переменной окружения USER напрямую в login(1);
  • никакой проверки или экранирования не выполняется;
  • login(1) воспринимает -f root как служебный параметр;
  • а параметр -f означает вход без проверки пароля.

В итоге сервер автоматически аутентифицирует подключение как root — полностью обходя процесс валидации.

Обычное подключение по telnet не позволяет указать имя пользователя в таком виде. Однако в режиме автологина (-a) имя пользователя берётся не из командной строки, а именно из переменной окружения USER.

Именно здесь и кроется корень проблемы: telnetd доверял содержимому USER без какой-либо валидации. Достаточно было установить переменную окружения в значение -f root, и система сама открывала дверь.

Йозефссон показал рабочий пример атаки на системе Trisquel GNU/Linux 11, где после одной команды пользователь моментально получал root-доступ.

Как выяснилось, уязвимость появилась в коммите от 19 марта 2015 года и попала в релиз GNU InetUtils 1.9.3 от 12 мая того же года. Изначально изменение задумывалось как исправление проблемы с автологином в средах с Kerberos — разработчики добавили передачу имени пользователя через переменную окружения, но забыли проверить её содержимое.

Саймон Йозефссон рекомендует как можно скорее ограничить сетевой доступ к telnet-порту только для доверенных клиентов; установить патч или обновиться до версии GNU InetUtils, в которой уязвимости нет;  в идеале — ещё раз задуматься, нужен ли telnet в инфраструктуре вообще.

Напомним, в этом месяце мы сообщали об опасной уязвимости в GNU Wget2, которая позволяет удалённо перезаписывать файлы.

RSS: Новости на портале Anti-Malware.ru