Sul NY Times di questa mattina compare un articolo interessante sulla vulnerabilità del “re delle vendite lampo”, meglio conosciuto come iPhone. Il suddetto articolo presenta infatti una ricerca svolta dalla Independent Security Evaluators, azienda che si occupa di sicurezza informatica, nella quale viene mostrato come attraverso una connessione Wi-Fi oppure attraverso la navigazione in un sito contenente del codice corrotto, si possa facilmente avere pieno controllo dello smartphone made in Cupertino.
“Non appena si scova un buco, se ne guadagna il completo controllo”, è quanto dichiarato da Charles A. Miller, principale analista dell’azienda: attraverso la navigazione tramite il browser di iPhone su di un sito “corrotto” di sua stessa creazione, Miller è riuscito a prendere pieno possesso dello smartphone. Le analisi svolte hanno evidenziato che è possibile leggere i file di log degli sms, la cronologia delle chiamate, la rubrica indirizzi, i messaggi vocali registrati e trasferirli verso un computer remoto.
Una più completa ed esauriente analisi verrà presentata il 2 agosto durante la Black Hat, conferenza sulla sicurezza informatica e l’hacking; per chi desiderasse avere un’idea generale e sommaria dell’analisi svolta dallo staff di Miller, è disponibile una presentazione direttamente scaricabile da qui.
La fiducia e l’entusiasmo che Miller riponeva nell’iPhone non è diminuita anche se, una volta scoperto questo hack, è stata messa a dura prova. Consapevole del numero elevato di aspiranti hacker là fuori che tentano di “bucare” l’iPhone e delle grosse aspettative legate a questo apparecchio elettronico che sta facendo parlare di sé da oltre un anno, Miller smorza i toni della discussione:
“It’s not the end of the world, it’s not the end of the iPhone”. Come dargli torto.
Seguici
melablog è un supplemento alla testata Blogo.it registrata presso il Tribunale di Milano n. 487/06, P. IVA 04699900967. Contatti, Chi siamo, Condizioni di utilizzo, Privacy.
© 2004-2012 Blogo.it, alcuni diritti riservati sotto licenza Creative Commons.
Per informazioni pubblicitarie e progetti speciali su Melablog.it contattare la concessionaria esclusiva Populis Engage.
(2 Voti | Media: 3.5 su 5)
Albertoz
23 lug 2007 - 10:49 - #1Ora si dice che l’iPhone vende tanto. Spero che per la seconda versione di iPhone siano risolti tutti i problemi, come questo, il GPS, la radio le suonerie personalizzabili, il VoIP integrato ecc ecc.. solo allora venderà come il pane! Altro che adesso!
iSimone
23 lug 2007 - 10:56 - #2Questa è una notizia che mi lascia un po’ perplesso… è già da un paio d’anni che uso il mio iMac per navigare su internet e, grazie al suo OS X e a Safari, mi sono sempre sentito “sicuro”.
Come fà iPhone ad avere ereditato lo stesso sistema operativo, lo stesso browser e anche gli stessi ingegneri (strappati dallo sviluppo di Leopard), ed essere così vulnerabile?
Lo sò che non è la fine del mondo, basterà un aggiornamento; lo sò che questa di iPhone è la prima release e che quindi non poteva essere perfetto. Ma speravo che i problemi di questo tipo, riguardanti la sicurezza, non ci fossero. Dopotutto era stato Jobs a dire che la sicurezza è per Apple una cosa molto importante, tanto da impedire l’apertura del dispositivo alla programmazione di terzi… poi ci troviamo ’sto buco…
Pazienza, consoliamoci col fatto che quando arriverà anche qui da noi molti problemi saranno sicuramente già stati risolti: almeno stiamo aspettando per qualcosa ;-)
iBidon
23 lug 2007 - 11:06 - #3…iBidon
Trollone
23 lug 2007 - 11:12 - #4iSimone, che quello che dicono i winari da anni, ossia che osx è sicuro perché “nessuno” se ne occupa, si vero?
ad oggi scrivere worm o virus per osx non ha senso, non si potrebbero diffondere.
ma attacchi mirati all’accesso al sistema vedrai che con il tempo cresceranno.
pbdz
23 lug 2007 - 11:21 - #5Mah, secondo me il problema di iphone è che non è (giustamente) multi utente quindi si ha una sicurezza minore…
Staremo a vedere cosa accadrà in futuro..per ora aspetto la spiegazione dell’exploit!
MetalSho
23 lug 2007 - 11:21 - #6@Trollone
No. Non è affatto così. La verità è che nessun sistema è sicuro al 100%, ma windows non lo era per niente rispetto ai sistemi Unix (su Vista non lo so, ma pure li non ci andrei con i piedi di piombo).
In più la M$ si è sempre dimostrata più lenta a tappare le falle rispetto alla concorrenza. Tutto qua.
Trollone
23 lug 2007 - 11:33 - #7@Metal
è un discorso vero fino a 95, che manco aveva i “trusted path”
con Nt,2000,Xp e ora vista il discorso è un filo diverso.
MetalSho
23 lug 2007 - 11:43 - #8@Trollone
No no, anche su XP c’erano problemi gravi a livello strutturale.
Solo per farti un esempio, per lavorare senza rotture lo dovevi, anzi, lo devi fare utilizzando un account da amministratore, nel quale qualsiasi applicazione può fare quello che vuole senza chiederti neanche la password.
Sui sistemi unix è diverso, quindi un virus al massimo può distruggere i file dell’utente senza però danneggiare il sistema.
E questo è solo un esempio.
Trollone
23 lug 2007 - 11:52 - #9ti sei appena risposto: “per lavorare senza rotture”.
è questo il problema, se l’utonto vole lavorare “senza rotture” si merita questo ed altro, se uno
vuole lavorare in sicurezza, un minimo di accortezza la si deve avere a prescindere dall’OS.
personalmente lavoro anche io con un account di amministratore, ma programmi “sensibili” come browser internet e client di posta uso le sandbox come:http://www.sandboxie.com/ ;)
Trollone
23 lug 2007 - 11:57 - #10e poi aggiungo, sul computer di casa lavoro/gico come “Power Users” e non ho mai avuto problemi, se proprio devi essere utente admin, fai clic destro e “Run the program as “
MetalSho
23 lug 2007 - 12:06 - #11@Trollone
No, perché ti ho appena detto che su OSX (E su Unix in generale) un utonto non può fare casini al sistema, su Windows si, quindi OSX è più sicuro di Windows (anche se non è invulnverabile) :-P
Poi ti vorrei ricordare le gare con ricompensa che sono state fatte per prendere il possesso da remoto di un Mac, e che c’è riuscita solo una persona e solo dopo che hanno cambiato le regole della gara perché era praticamente impossibile( c’è riuscito, se non ricordo male, sfruttando una falla di Java).
Menestrello
23 lug 2007 - 12:14 - #12Vabbe ma come al solito state andando OT…
Qui si parla dell’iPhone che e’ stato “bucato”…
Mi spiegate che cavolo centra M$ e la sicurezza di windows in tutto questo?
boh..
iSimone
23 lug 2007 - 12:16 - #13@Trollone
quoto MetalSho.
Non direi proprio, OS X non ha gli stessi problemi di windows (e, a quanto pare, di iPhone), non solo perché nessuno abbia mai provato a “forare” il sistema (come ricordava MetalSho sono stati indetti anche premi di 10.000 $ per riuscirci) ma perché, probabilmente, è più difficile farlo (e non è solo una mia opinione).
Con iPhone non percepisco questa stessa impermeabilità… ovviamente è solo una sensazione, niente di “sicuro” ;-)
Trollone
23 lug 2007 - 12:28 - #14@Metal
il discorso sta diventando piuttosto sterile a parte che non ho ancora capito se parli di un computer inserito in un ambiente di lavoro, o del computer di casa.
comunque NT,2000,XP e Vista supportano:
utenti
gruppi
ACL
Quota
etc etc
quindi le stesse cose che trovi in uno qualsiasi nix.
se poi dici che da “idioti” dare un account amministrativo di default all’utente che si installa XP sul suo computer di casa non posso che darti ragione.
Comunque ripeto, sul mio pc di casa, i miei genitori *non* hanno un account amministrativo e per usare word, leggere la posta e navigare su internet non hanno nessun problema.
Poi imho l’utonto va in primis educato e responsabilizzato, non fatto crescere in uno finto senso di sicurezza perché in realtà è limitato nelle sue possibilità.
MetalSho
23 lug 2007 - 12:37 - #15@menestrello
Hai ragione :-P torno in topic
OnTopic
Secondo una mia attentissima analisi (tanto gli analisti di professione non ci azzeccano mai, quindi se dico una boiata sono giustificato :-P), i problemi di sicurezza dell’ iPhone sono nati nel momento in cui è stato deciso di permettere a terzi di sviluppare applicazioni web 2.0 da utilizzare dentro safari.
Il problema è nato perché è stata una scelta dell’ultimo momento.
Safari per iPhone all’inizio non era stato “pensato” per far girare script complessi che potessero interagire con il cellullare. A causa di questo non sono stati fatti abbastanza controlli sulla sicurezza lasciando così delle falle sfruttabili dall’ hacker di turno.
Spero che la Apple si muovi in fretta.
MetalSho
23 lug 2007 - 12:45 - #16@Trollone
Xp supporta gli utenti, ma le applicazioni dell’amministratore possono fare il “porco del comodo loro” senza che il sistema richieda un’ autenticazione prima di far macelli.
Su Vista infatti hanno messo lo UAC (che è ispirato al sistema di controllo di UNIX) che però chiede conferma invece di autenticare il proprietario del processo, e questo può essere un punto debole.
Poi voglio dire, l’esempio del sasser dovrebbe bastare a dimostrare che su XP non c’era manco bisogno di aprire il browser per essere infettati.
Sul discorso che il peggior virus è l’utente stesso sono d’accordissimo con te, solo che è compito del sistema marginare i danni che può fare, e in questo i sistemi unix riescono meglio di Windows.
Rafa
23 lug 2007 - 12:47 - #17Io non oso nemmeno pensare se apriranno questo telefono a software sviluppato da terzi cosa potrà succedere in termini di sicurezza…
Trollone
23 lug 2007 - 13:02 - #18Metal, dopo quello che hai appena scritto ho capito che non idea di cosa sia:
una applicazione web2.0
un browser internet
una “applicazione” in ajax è un “normalissimo” sito internet contenete del codice javascript che utilizza l’oggetto XMLHttpRequest (Che deve essere supportato dal browser) per scambiare piccoli pacchetti di dati tra il browser e il server, senza ricaricare tutte le volte la pagina completamente.
http://it.wikipedia.org/wiki/AJAX
ora se il browser safari permette di fare document.open su file presenti sul telefono (Come i log) e un attimo inserire in una pagina una riga tipo …scr=”www.sitocattivo.com/leggi?+document.open….
e la colpa è della configurazione del browser…non di “permettere a terzi di sviluppare applicazioni”
ciao
MetalSho
23 lug 2007 - 13:12 - #19@Trollone
Io mi riferivo al fatto che quegli script, come dici tu, devono essere eseguiti dal browser, e che IMHO all’inizio Safari lo permetteva.
Certo che è colpa della configurazione del browser, non mi sembra di aver detto il contrario, ho semplicemente detto che non sono stati fatti abbastanza controlli sulla sicurezza a causa dei tempi stretti.
itmandar
23 lug 2007 - 13:24 - #20Non saprei… ho letto il documento… mi puzza dell’ennesima società che vuole rendersi famosa …
e quale mezzo migliore?
I dettagli sulla vulnerabilità non vengono resi noti…
resta una serie si potrebbe… magari facendo così o colì… la difficoltà sarebbe… un pò troppo vago.
Non dico che è impossibile,
dico che ultimamente spuntano come funghi di queste aziende che dicono di aver trovato un exploit, poi ad una più attenta lettura si scopre che è stato comunque modificato prima qualcosa nel sistema, oppure bisognava comunque fornire la password di amministratore, a questo punto grazie a Orazio!
itmandar
23 lug 2007 - 13:35 - #21cmq voglio dargli una lettura più attenta, ho letto solo le ultime pagine che andavano sullo specifico
itmandar
23 lug 2007 - 13:47 - #22ok l’os di iphone in quanto a sicurezza non ha nulla a che vedere con osx, ora capisco perchè Apple non voleva aprire ad applicazioni di terze parti…
oadriano
23 lug 2007 - 14:05 - #23hola raga… Scusate l’off topic ma vi sto scrivendo dal mio iphone!! Altro che iBidon…. Dovete provarlo… Questo e’ il cell del futuro!!!
gianluca cheNonSiRegistraPerColpaFiltroVolgarità
23 lug 2007 - 14:11 - #24L’intervento #15 (di MetalSho) nem momento in cui scrivo ha un bel -1, dato forse da qualcuno che non ha apprezzato un’osservazione appropriata.
Quanto segue è la mia personale opinione riguardo quello che io **credo** sia il problema.
AJAX: Asynchronous JavaScript and XML. Per farla breve, il browser manda una richiesta (tramite JavaScript) asincrona (nel senso che il browser non si blocca in attesa della risposta) ad un server il quale restituisce XML (ma spesso è usato per farsi restituire solo testo — in alcuni casi può essere più comodo). Ciò che “gira” sul client è JavaScript il quale *normalmente* non può accedere al sistema, per ovvi motivi di sicurezza (il JavaScript è generalmente trasparente rispetto l’utente, autamaticamente eseguito dal browser, residente sulla macchina remota).
Poiché ci sono questi (giusti) limiti al JavaScript, un’applicazione usante la tecnica/tecnologia (qualcuno pensa sia un linguaggio) AJAX è piuttosto sicura (almeno lato client) e si può cos’ rispondere alla perplessità di iSimone «Questa è una notizia che mi lascia un po’ perplesso… è già da un paio d’anni che uso il mio iMac per navigare su internet e, grazie al suo OS X e a Safari, mi sono sempre sentito “sicuro”» e tranquillizzarlo.
Attualmente l’unico modo per “programmare” iPhone è utilizzare AJAX (o anche solo JavaScript, direi). Il problema nasce nel momento in cui si vuole potenziare JavaScript per rendere più “interessanti” le applicazioni che ci girano sopra. JavaScript, su un “normale” browser non può accedere in nessun modo alla rubrica o al altre informazioni residenti sul computer ad eccezione dei coockie (non mi soffermo, ma non costituiscono un problema), JavaScript su iPhone (se non ho capito male altrimenti salta tutto il ragionamento :) può contare su una API, messa a disposizione dal sistema, tramite la quale accedere alla rubrica e altre informazioni (pensiamo ad una applicazione che si appoggi a google maps e ci indichi i contatti nel raggio di un miglio — siamo negli USA :) — JavaScript deve accedere alla rubrica). Nel momento in cui l’API mostra a JavaScript il sistema, il sito è in grado di accedere al sistema e il problema di sicurezza non tarda ad arrivare.
Il problema potrà certamente essere superato, ma non so se per fare ciò occorrerà troncare le braccia a JavaScript in modo che questo non metta mano dove non deve. Forse Apple è stata troppo rapida nel progettare l’API messa a disposizione da JavaScript.
destroyer85
23 lug 2007 - 14:53 - #25@MetalSho
Vorrei ricordarti che avete una vulenrabilità di livello 5 da Secunia aperta dal 21 febbraio 2006 e solo parzialmente patchata… alla faccia della velocità
deus
23 lug 2007 - 15:05 - #26 (nascondi)non era winzozz l’unico sistema con problemi di sicurezza? i prodotti Apple non sono i più sicuri del mondo?
uuahAHHAHAHAHHAHAHH
MetalSho
23 lug 2007 - 15:08 - #27@destroyer
Linka perfavore :-)
destroyer85
23 lug 2007 - 15:37 - #28Commento respinto dal filtro perchè ritenuto spam o contenente volgarità. Per segnalare problemi, scrivete a spam@blogo.it, includendo il vostro nickname e un link a questo post.
mi esce questo mettendo il link
destroyer85
23 lug 2007 - 15:39 - #29non posso pubblicare link a Secunia…
MetalSho
23 lug 2007 - 15:39 - #30@destroyer
Prova a mettere il link dentro un codice HTML (a href=”…”), oppure dimmi il nome della falla che me la cerco su google. tnx
destroyer85
23 lug 2007 - 15:40 - #31h”t”t”p://s”e”c”un”i”a.com/advisories/18963/
togli i “
destroyer85
23 lug 2007 - 15:41 - #32escamotage
MetalSho
23 lug 2007 - 16:02 - #33@destroyer
Ho fatto il test con l’ultima versione di OSX.
Sul sito dice che sei “a rischio” se dopo aver cliccato il link ti si apre la calcolatrice(in pratica se riesce a far partire uno script).
Dopo aver clickato sul link, Safari mi ha scaricato lo Zip, senza però eseguirlo(questa dovrebbe essere la parte che era stata parzialmente patchata), a quel punto ho fatto partire io manualmente lo zip, ma ha scompattato il file “malevolo” senza che succedesse nulla. Soltanto dopo aver fatto partire il file mi si è aperta la calcolatrice.
Il discorso è che il file, pur presentando un’ estensione falsa per trarre in inganno, l’icona non corrisponde ad essa, perciò si vede subito che è un “falso”. Quindi è molto simile al virus albanese :-D
Inoltre il file non è altro che un comando del terminale, quindi senza autenticazione non può danneggiare il sistema. Al massimo l’area utente.
Italo
23 lug 2007 - 16:11 - #34@Deus
ti piacerebbe eh!
continua a sognare tra un format ed un altro del tuo PC
destroyer85
23 lug 2007 - 16:14 - #35Solution:
Apply Security Update 2006-002.
NOTE: The update does not completely fix the vulnerability as it is still possible to trick users into opening malicious shell scripts (masqueraded as a safe file type) in ZIP archives. Do not open files in untrusted archives.
MetalSho
23 lug 2007 - 16:26 - #36@Destroyer
esattamente quello che ti ho detto.
Ho dovuto aprirlo manualmente, ma l’icona non corrisponde all’estensione quindi è facilmente riconoscibile.
Inoltre può al massimo girare con permessi utente.
la gravità a livello 5 era data dal fatto che si avviasse automaticamente, tolta questa caratteristica resta uno script normalissimo con estenzione “truccata”.
Una cosa del genere funziona su tutti gli OS.
MetalSho
23 lug 2007 - 16:29 - #37Inoltre lo script è in chiaro, quindi si può leggere il contenuto con un qualsiasi programma di testo prima di avviarlo, controllando così se sia melevolo o meno.
destroyer85
23 lug 2007 - 16:41 - #38ridendo e scherzando anche voi avete i vostri bei 101 bug… XP ne ha 165.
In percentuale però OSX ne ha molti di più da remoto.
Come pericolosità siamo più o meno lì 37% apple e 36% XP di bug di fascia 4 o 5.
XP ha una grande percentuale di bug che consentono di avere accesso alla macchina mentre apple sono più distribuiti.
Per i bug Unpatched in entrambe i casi sono cose poco pericolose da quanto è emerso, anche se xp ne ha di più.
MetalSho
23 lug 2007 - 16:46 - #39@destroyer
beh… se OSX se ha 101 e XP ne ha 165, vuol dire che quest’ultimo ha più del 50% di bug in più! :-D
Cmq ti rinnovo la richiesta di postare sempre la fonte, che è sempre utile conoscere i propri limiti ;-)
destroyer85
23 lug 2007 - 16:54 - #40sempre Secunia
se di XP lo usano l’85% e OSX lo usa il 10% vuol dire che il 75% in più di persone usa XP…
facendo una proporzione
x:85=101:10 x=85*101/10=935.
Siamo in credito di ancora 770 bug :-D.
[E’ solo una provocazione]
Italo
23 lug 2007 - 17:24 - #41destroyer ma sei deus mascherato?
MetalSho
23 lug 2007 - 17:33 - #42@destroyer
Allora:
OSX ha 104 bug di cui il 5% non patchato.
Quindi ha solo 5 bug non patchati, di pericolosità bassa o nulla.
XP Pro ha 185 bug di cui il 16% non patchato.
Quindi ha 29 bug non patchati, di cui uno altamente pericoloso e 3 moderatamente pericolosi.
Diciamo che posso continuare a considerare OSX più sicuro(ripeto: non invulnerabile), e a dormire sogni tranquilli :-P
MetalSho
23 lug 2007 - 17:52 - #43 (nascondi)P.S.
La falla grave di XP non tappata è del Dicembre del 2005… per non parlare delle altre che non ho il coraggio di dirti a quando risalgono… e tu che ti lamentavi per la falla di OSX (praticamente tappata) datata Febbraio 06 :-P
gianluca cheNonSiRegistraPerColpaFiltroVolgarità
23 lug 2007 - 18:56 - #44Non vorrei interrompere l’idillio, ma si parlava di iPhone e della *sua* insicurezza, non è il caso di tornare IT e interrompere la gara a chi piscia più lontano?
MetalSho
23 lug 2007 - 18:59 - #45@Gianluca
Vabbè, si parlava della sicurezza di iPhone, quindi di OSX e della capacità di Apple di tappare le falle con maggiore rapidità rispetto alla concorrenza. Dalle parole siamo passati ai “fatti” portando esempi e numeri, tutto qua.
Rispetto ad altre volte eravamo pure abbastanza in Topic :-P
Mik
23 lug 2007 - 19:29 - #46Per me siamo perfettamente in topic. Si parla della sicurezza di iPhone e di OSX…
Il fatto è che quando un sistema come il Mac è definito “sicuro” le aspettative sono tanto alte che qualcuno crede sia invulnerabile, la differenza invece sta nella gravità delle falle e nel fatto che poi non vengono sfruttate in pratica per creare danni reali…
Così quando si sente si un bucherello in OSX sono tutti a scalmanarsi, e si dimenticano dei problemi “reali” che ha Windows nella sicurezza.
Leonardo
23 lug 2007 - 19:32 - #47In un sistema con sorgenti chiusi, una vulnerabilità può avere un exploit (come in questo caso nell’iPhone) e quindi richiede una patch immediata. In altri casi, se l’exploit non è noto, una patch può permettere tramite retro-enginering di scoprire un exploit che può colpire tutti i sistemi senza patch (come nel caso di Sasser per Win).
Mi aspetto aggiornamenti continui per l’iPhone, per correzioni e aggiornamenti. E’ passato un mese ed ancora niente, questo mi fa pensare che stanno lavorando a molte modifiche.
gianluca CheNonSiRegistraCausaFiltroSpam
23 lug 2007 - 21:24 - #48Vabbè, si parlava della sicurezza di iPhone, quindi di OSX e della capacità di Apple di tappare le falle
Per me siamo perfettamente in topic. Si parla della sicurezza di iPhone e di OSX…
Ok, forse ho esagerato, domando scusa. Il fatto è che a mio avviso il discorso OS X centra poco, poiché ritengo che il problema sia l’API per il JavaScript.
Segnale007
23 lug 2007 - 21:35 - #49Peccato però, è davvero un ottimo gioiellino, hw di qualità e anche un bel sw, peccato ci sia qualche falla … Spero venga risolta al piu’ presto ..
itmandar
23 lug 2007 - 21:39 - #50Quoto Metalsho:
“P.S.
La falla grave di XP non tappata è del Dicembre del 2005… per non parlare delle altre che non ho il coraggio di dirti a quando risalgono… e tu che ti lamentavi per la falla di OSX (praticamente tappata) datata Febbraio 06 :-P”
+10 punti