Komoly fiaskó a biztonságot gyakran hangsúlyozó Apple-nél: hosszú időn át egy nem biztonságos protokollon keresztül bonyolított hálózati kapcsolatot a cég új jelszókezelő appja, ami alapot biztosíthatott adathalász támadásokhoz is.
Az Apple 2024 szeptemberében, az iOS 18-as frissítés fedélzetén mutatta be az új jelszókezelő alkalmazását (ennek magyar neve Jelszavak lett). Ez a korábban a Beállításokban található kulcskarika továbbfejlesztett változata, ám most kiderült, hogy az első pár hónapban egy súlyos sebezhetőség volt az appban, ami egy jelszókezelőnél elég aggasztó.
Erre a Mysk biztonsági kutatói figyeltek fel először a birtokukban lévő iPhone adatvédelmi jelentése nyomán – ilyet minden készülék ki tud állítani. A szakemberek úgy találták, hogy a Jelszavak app 130 különböző weboldallal lépett kapcsolatba nem biztonságos HTTP-protokollon keresztül. Amikor tovább vizsgálódtak, úgy találták, az alkalmazás nem csak fióklogókat és ikonokat hívott le a nem biztonságos kapcsolaton keresztül, hanem így nyitotta meg a jelszó-helyreállító oldalakat is.
Ez a Mysk kutatói szerint azért gond, mert a megfelelő hálózati hozzáféréssel rendelkező támadó „elkaphatta” ezt a HTTP-kérést, és átirányíthatta a felhasználót egy adathalász oldalra – részletezi a megállapításokat a 9to5Mac. Arról, hogyan lehetett egy támadást kivitelezni a módszerrel, egy videót is közreadtak a kutatók:
A szakembereket meglepte, hogy az Apple nem követelte meg alapértelmezetten a biztonságosabb HTTPS-protokollt, és azt sem tartják jó ötletnek, hogy az alkalmazás egyfolytában pásztázza az mentett jelszavakhoz tartozó weboldalakat, hogy lekérje azok ikonjait. Az Apple az iOS 18.2-es frissítéssel javította a hibát, és már minden kapcsolatot HTTPS-se indít a Jelszavak app.
Ha máskor is tudni szeretne hasonló dolgokról, lájkolja a HVG Tech rovatának Facebook-oldalát.
A Meta több száz tiszás Facebook-csoportot törölt a múlt héten. Ezúttal technikai hiba állt a háttérben, de mi történhet, ha a két oldal elkezdi egymás ellen felhasználni, hogy a platform bárkit letilthat?
Az Európai Parlament vitát tartott a Pride-ról, amelyen több mint 70 képviselő személyesen is részt vett.
Az amerikai elnök 50 százalékos vámot lengetett be, amit a brazil államfő, Luiz Inácio Lula da Silva az ország igazságügyi rendszerébe való beavatkozásnak minősített és ellenvámokat ígért.
Járai Zsigmond már az első Orbán-kormány idején fontos pozíciókat kapott.
Előfordult már, hogy egyszer csak azt érezte, megöregedett? Könnyen lehet, hogy ez nem szubjektív élmény volt.
Egy korrupciós ügy állhat a hátterében annak, hogy meghalt Roman Sztarovojt volt orosz közlekedési miniszter.
