Платный Vip раздел в котором публикуются вип материалы сайта!Купите пароль!Вы не пожалеете!
Наш опрос
Мини-чат
Главная » 2009 » Январь » 31 » Обиженный эксперт публикует сведения о дырах в безопасности iPhone
Обиженный эксперт публикует сведения о дырах в безопасности iPhone
23:10
Устав получать постоянные отписки от Apple, эксперт из Израиля Авив Рафф сегодня раскрыл технические подробности двух уязвимостей в системе безопасности iPhone о которых он в первый раз сообщил компании более чем два месяца назад.
Рафф, известный больше по своей работе с браузерами, в июле сообщил Apple об обнаруженных им багах во встроенном почтовом клиенте iPhone Mail и портативной версии браузера Safari для этого смартфона, которые можно было использовать для того, чтобы обманным путем заставить пользователя переходить по подозрительным ссылкам и завалить его впоследствии спамом.
Однако после того, как Apple все затягивала и затягивала с выпуском патча, отказываясь назвать конкретные сроки его выхода, эксперт решил придать огласке подробности обнаруженных им дыр в защите. В своем блоге он посетовал на то, что за два с половиной месяца компания так и не предприняла никаких действий по выпуску патча. "Я несколько раз отсылал в Apple запросы по поводу планируемых сроков выхода обновления, однако они постоянно отказывались называть точную дату. "С момента предоставления мною сведений об ошибках вышло уже три новых версии ПО (v2.0.1, v2.02, v2.1), и, тем не менее, уязвимости все еще остаются".
И Mail и Safari обрезают URL, чтобы подогнать их под небольшой экран iPhone. Поэтому хакеры могут воспользоваться этим для того, чтобы внедрить ссылки подозрительного происхождения через HTML-сообщения. По причине того, что почтовый клиент вырезает середину длинных URL, хакер может использовать имя добропорядочного ресурса, например такого как Facebook, для того, чтобы придать началу ссылки безобидный вид, и дописать оставшуюся часть по своему желанию в ту часть ссылки, которую обрезает iPhone. Рафф продемонстрировал пример использования этой ошибки показав ссылку, которая походила на ту, что ведет на страницу авторизации Facebook, а на самом деле переадресовывала пользователя на картинку, размещенную самим Раффом на своем ресурсе.
Вторая уязвимость состоит в том, что iPhone автоматически закачивает идущие во вложениях картинки. Это может указать хакерам на активный почтовый ящик, и впоследствии добавить его в списки рассылки спама. До тех пор, пока все эти недоработки не будут устранены, Рафф советует пользователям iPhone воздержаться от использования почтового клиента Mail.
