76 Aplikacje Ios są podatne na ciche przechwytywanie danych

Verify.ly, usługa, która skanuje kod binarny aplikacji iOS w celu wykrycia problemów związanych z bezpieczeństwem aplikacji, ujawniła, że ​​76 aplikacji iOS z łącznymi 18 milionami pobrań nie jest chronionych przed cichym przechwytywaniem danych chronionych TLS.

Podczas testu wszystkie 76 aplikacji, w tym kilka aplikacji VPN, aplikacje przeglądarkowe, a także popularna aplikacja Vice News, okazały się podatne na cichy atak typu man-in-the-middle, który naraża dane użytkownika na ryzyko.

Naruszenie bezpieczeństwa umożliwia atakującemu łatwe przechwycenie i manipulowanie danymi użytkownika.

„Nasz system oznaczył setki aplikacji jako mające wysokie prawdopodobieństwo podatności na przechwycenie danych. Udało mi się w pełni potwierdzić (luki w zabezpieczeniach aplikacji) za pomocą iPhone'a na żywo z systemem iOS 10 i „złośliwego” proxy, aby wstawić nieprawidłowy certyfikat TLS do połączenia w celu przeprowadzenia testów ”- napisał Will Strafach, założyciel Verify.ly.

Raport wykazał, że 33 z tych podatnych aplikacji iOS było w grupie niskiego ryzyka, 24 w grupie średniego ryzyka i 19 w grupie wysokiego ryzyka.

Podczas gdy grupa aplikacji o niskim i średnim ryzyku nie była podatna na przechwytywanie poufnych danych użytkownika, które mogłyby być szkodliwe, 19 z tych aplikacji wysokiego ryzyka uznano za narażone na wysokie ryzyko przekazywania poświadczeń logowania do usług finansowych lub medycznych.

Większość twierdzi, że takie ataki wymagają, aby twoje urządzenie było na tym samym połączeniu internetowym - zwykle publicznym łączu Wi-Fi - jak atakujący, ale to nie do końca prawda.

„Prawda jest taka, że ​​ten rodzaj ataku może być przeprowadzony przez każdą stronę w zasięgu Wi-Fi urządzenia, gdy jest ono w użyciu. Może to być w dowolnym miejscu publicznym, a nawet w twoim domu, jeśli atakujący może zbliżyć się do siebie. ”Strafach dodaje.

To nie pierwszy raz, gdy tego rodzaju luka została odkryta w aplikacjach iOS. Aby wymienić tylko kilka, aplikacje iOS, takie jak Kaspersky Safe Browser, Experian, Dell SecureWorks, miały podobne problemy z podatnością.

„Wiele takich problemów wynika z tego, że twórca aplikacji nie w pełni rozumie kod, który pożyczył z sieci” - dodał.

Raport wskazuje również, że aby zabezpieczyć poufne informacje, zaleca się wyłączenie Wi-Fi i korzystanie z danych komórkowych podczas logowania na konto bankowe w celu przeprowadzenia transakcji lub sprawdzenia salda, ponieważ komórkowe połączenia internetowe są stosunkowo trudne do włamania.