В iOS и OS X обнаружен ряд 0-day уязвимостей

В iOS и OS X обнаружен ряд 0-day уязвимостей

Специалисты из Университета Индианы и Технологического института Джорджии опубликовали отчет о ряде 0-day уязвимостей в Apple iOS и OS X. Используя найденные дырки, исследователи сумели получить информацию, хранящуюся в Keychain, взломали «песочницу» и достали конфиденциальные данные из приложений Evernote, Facebook и не только.

Основой всему послужила атака XARA (Cross-App Resource Access), суть которой заключается в том, что крупные приложения могут предоставлять малвари доступ к информации других, легитимных приложений. Анализ 1612 самых популярных приложений для Mac и 200 для приложений iOS выявил, что 88.6% используют уязвимые для XARA-атак ресурсы системы, сообщает xakep.ru.

Одна из обнаруженных исследователями проблем касается Keychain. Данная функция присутствует в iOS 7.0.3 и OS X 10.9 Mavericks и выше. Она предназначена для хранения аутентификационных данных, токенов, ключей, данных о банковских картах, информации о сетях Wi-Fi и так далее.

По сути, каждому приложению принадлежит свой, небольшой кусочек Keychain, доступ к которому, должен быть только у этого приложения. Но исследователи выяснили, что можно создать зловреда, который мимикрирует под атрибуты обычного приложения, обманув Keychain.

Приведу пример. Пользователь скачал условное приложение «A» и создает пароль для него. В Keychain будет произведен поиск соответствующих атрибутов, чтобы понять, куда поместить идентификационные данные, вдруг в системе уже есть такое приложение? Если перед этим пользователь установил приложение-малварь, которое заранее подделало атрибуты приложения «А», система сохранит аутефикационную информацию таким образом, что доступ к ней будут иметь оба приложения – настоящее приложение «А» и малварь, созданная хакерами. И даже если пользователь установит вредоносное приложение после установки легитимного, произойдет то же самое. Более того, существующая в Keychain запись вообще может быть удалена другим неавторизованным приложением.

Исследователи протестировали свою атаку на Keychain на Apple’s Internet Accounts и Google Chrome на OS X 10.10. Им удалось извлечь аутентификационные токены для аккаунтов iCloud и Facebook. Согласно отчету, Apple заблокировала возможность такой атаки на iCloud в 10.10.4, но это не остановит хакеров, которые могут просто удалить из Keychain запись.

Еще одна большая проблема лежит в «песочнице» Mac’ов. Чтобы защитить приложения от влияния из вне, всему софту присваиваются идентификаторы Bundle ID (BID), которые определяют, что может делать то или иное приложение вне своего контейнера, и какие данные ему доступны. Данные идентификаторы должны быть уникальны для каждого приложения, и Apple проверяет на дубликаты все, что добавляют в App Store. Однако Apple не справляется с проверкой подпрограмм в приложениях. Подпрограммы могут использовать тот же BID, что и другое легитимное приложение. Получается, что оба приложения работают в одной «песочнице» и имеют доступ к данным друг друга.

Группа депутатов подготовила законопроект о защите от сталкинга

Авторами законопроекта о защите от сталкинга и навязчивых преследований выступили депутаты Ксения Горячева и Сардана Авксентьева. Документ представляет собой пакет поправок в Кодекс об административных правонарушениях, предусматривающий штрафы и административный арест за такие действия. Кроме того, в правовое поле вводится понятие охранного ордера.

Текст законопроекта оказался в распоряжении РБК. Документ уже внесён в Госдуму и направлен на отзыв в правительство.

Как пояснила РБК Ксения Горячева, в России сталкинг фактически разрешён «по умолчанию». По её словам, сотрудники МВД нередко руководствуются принципом «нет статьи — нет наказания», даже в случаях, когда преследование продолжается годами.

Законопроект впервые закрепляет в законодательстве само понятие сталкинга, или навязчивого преследования. Под ним понимаются «определённые действия, причиняющие психические страдания и вызывающие опасения за собственную безопасность, если они продолжаются после прямой просьбы прекратить преследование».

К формам такого поведения авторы относят систематическую слежку, навязчивые попытки установить контакт, а также покупку товаров или заказ услуг с использованием чужих персональных данных.

Действия между супругами выведены из состава возможных правонарушений. Таким образом авторы попытались исключить потенциальные злоупотребления, которые могут возникать в ходе семейных конфликтов.

Отдельно в законопроекте вводится понятие охранного ордера — судебного запрета на приближение преследователя к жертве. Такой ордер может устанавливаться на срок до шести месяцев с возможностью продления. На этот период сталкер подлежит постановке на учёт в органах МВД.

В качестве наказания предлагается установить штраф до 10 тыс. рублей либо административный арест на срок до 10 суток. Если жертвами преследования становятся дети, санкции могут составить до 50 часов обязательных работ или арест до 15 суток. За нарушение условий охранного ордера предусмотрен штраф до 20 тыс. рублей либо арест до 10 суток.

Ранее фракция «Новые люди» уже вносила законопроект о наказании за сталкинг, однако он был раскритикован правительством из-за размытых формулировок, «не отвечающих требованиям определённости, ясности и недвусмысленности».

«Это вторая версия, выверенная совместно с экспертами, юристами и коллегами по Думе. Мы сознательно убрали всё спорное и оставили только то, что действительно даёт защиту и не позволяет злоупотреблять нормой», — отметила Ксения Горячева в комментарии для РБК.

По оценкам экспертов, до 80% случаев сталкинга сегодня происходит в онлайне. Мы ранее разбирали основные формы киберсталкинга и способы защиты от него.

RSS: Новости на портале Anti-Malware.ru