Патчи для iPhone будут выходить отдельно от прочих апдейтов iOS

Патчи для iPhone будут выходить отдельно от прочих апдейтов iOS

Патчи для iPhone будут выходить отдельно от прочих апдейтов iOS

В коде бета-версии iOS 14.5 обнаружены ссылки, говорящие о том, что Apple собирается изменить свой подход к доставке заплат, закрывающих уязвимости в компонентах мобильных операционных систем. Не исключено, что в скором времени такие патчи можно будет ставить без обновления ОС — отдельным пакетом, как на Android.

До сих пор, чтобы избавиться от очередных брешей в iPhone или iPad, пользователям приходилось устанавливать новую сборку мобильной ОС. Так, например, недавний выпуск iOS 14.4.1 устранил всего лишь одну, хотя и весьма серьезную уязвимость, и внести нужные исправления можно было только через апгрейд.

Примечательно, что пользователи macOS давно имеют возможность устанавливать актуальные патчи, не меняя версию ОС. При тестировании iOS 14.5 в настройках была обнаружена новая функция — Install Security Updates («Установить обновления системы безопасности»), которая может сигнализировать о том, что Apple решила предоставить такое же удобство и на мобильных устройствах.

 

В коде iOS 14.5 также найдены упоминания о том, что при установке очередного обновления iOS некоторые загруженные ранее апдейты — в частности, патчи (security update) — придется удалить. Каким образом Apple собирается это реализовать, пока неясно, но можно предположить, что пользователям просто будет отображаться соответствующая подсказка, когда они захотят перейти, скажем, на iOS 15.

Выход стабильной версии iOS 14.5 ожидается в ближайшие месяцы. С ее выпуском Apple должна значительно усилить приватность — активировать функциональность App Tracking Transparency, заставляющую приложения запрашивать у пользователя разрешение на отслеживание его действий, сбор данных для создания цифровых отпечатков и установку сторонних SDK (для сбора аналитики или персонализации рекламы). Пользователи также смогут, руководствуясь подсказками, объявлять свой выбор — согласие или отказ — для каждого приложения при его открытии.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Восьмилетняя уязвимость WhatsApp позволила собрать 3,5 млрд номеров

В WhatsApp (принадлежит Meta, признанной экстремистской и запрещённой в России) обнаружили серьёзную уязвимость, которая позволяла получить телефонные номера практически всех пользователей сервиса — а это около 3,5 млрд человек. Самое неприятное в истории то, что впервые о проблеме исследователи предупредили ещё в 2017 году, но компания так и не закрыла брешь до недавнего времени.

Исследователи из Университета Вены рассказали, что смогли использовать простейший трюк: WhatsApp позволяет проверить, зарегистрирован ли конкретный номер в мессенджере, и в ответ нередко показывает имя и фото профиля.

Если повторять такую проверку миллионы и миллиарды раз, можно собрать огромную базу телефонных номеров. И никаких ограничений на количество таких запросов у WhatsApp долгое время не было.

По словам исследователя Альёши Юдмайера, им хватило всего тридцати минут, чтобы собрать первые 30 млн номеров из США. Потом процесс просто продолжился в автоматическом режиме — фактически без ограничений. Он называет произошедшее «крупнейшей компрометацией телефонных номеров и связанных с ними данных».

Учёные действовали в рамках программы Bug Bounty и после эксперимента удалили собранные данные, а о проблеме сообщили Meta (признана экстремистской и запрещена в России).

Компания в своём комментарии заявила, что сотрудничество помогло протестировать новые антискрейпинговые механизмы, которые уже находились в разработке. Также Meta подчёркивает, что никаких доказательств эксплуатации уязвимости злоумышленниками нет, а переписки пользователей были защищены сквозным шифрованием.

Тем не менее Meta потребовалось ещё около полугода, чтобы внедрить простейшее ограничение на частоту запросов, которое и должно было закрыть дыру. Исследователи уверены: попадись этот метод в руки злоумышленников, речь могла бы идти о крупнейшей утечке данных в истории.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru