Problem z zabezpieczeniami iPhone'a otwiera drzwi do fałszowania wiadomości SMS

Haker Jailbreak i badacz bezpieczeństwa pod2g dzisiaj ujawnił nowo odkryty problem bezpieczeństwa we wszystkich wersjach systemu iOS, które umożliwiały złośliwym stronom fałszowanie wiadomości SMS, przez co odbiorca myślał, że wiadomość pochodzi od zaufanego nadawcy, podczas gdy w rzeczywistości pochodzi od złośliwego odbiorcy.

Problem dotyczy obsługi przez system iOS informacji nagłówka danych użytkownika (UDH), opcjonalnej sekcji ładunku tekstowego, która pozwala użytkownikom określić pewne informacje, takie jak zmiana numeru odpowiedzi w wiadomości na inny niż numer nadawcy. Obsługa przez iPhone'a tych opcjonalnych informacji może narazić odbiorców na ukierunkowane ataki polegające na fałszowaniu wiadomości SMS.

W polu tekstowym sekcja o nazwie UDH (nagłówek danych użytkownika) jest opcjonalna, ale definiuje wiele zaawansowanych funkcji, z którymi nie są kompatybilne wszystkie telefony komórkowe. Jedna z tych opcji umożliwia użytkownikowi zmianę adresu zwrotnego tekstu. Jeśli docelowy telefon komórkowy jest z nim kompatybilny, a odbiorca spróbuje odpowiedzieć na SMS, odpowie nie na oryginalny numer, ale na podany.

co zrobić, jeśli działa tylko jeden airpod?

Większość przewoźników nie sprawdza tej części wiadomości, co oznacza, że ​​w tej sekcji można wpisać co tylko chce: specjalny numer, taki jak 911, lub numer kogoś innego.

W dobrej implementacji tej funkcji odbiorca zobaczy oryginalny numer telefonu i odpowiedź na jeden. Na iPhonie, gdy widzisz wiadomość, wydaje się, że pochodzi ona z numeru zwrotnego i [tracisz] śledzenie pochodzenia.

pod2g wskazuje kilka sposobów, w jakie złośliwe strony mogą wykorzystać tę lukę, w tym próby phishingu łączące użytkowników ze stronami gromadzącymi dane osobowe lub fałszujące wiadomości w celu stworzenia fałszywych dowodów lub zdobycia zaufania odbiorcy w celu umożliwienia dalszych nikczemnych działań.

W wielu przypadkach złośliwa strona musiałaby znać nazwę i numer zaufanego kontaktu odbiorcy, aby ich wysiłki były skuteczne, ale przykład phishingu pokazuje, w jaki sposób złośliwe strony mogą zarzucać szerokie sieci, mając nadzieję, że złapią użytkowników, udając, że są wspólny bank lub inna instytucja. Jednak w przypadku problemu, w wyniku którego odbiorcom pokazywany był adres zwrotny, atak można było wykryć lub udaremnić, po prostu odpowiadając na wiadomość, ponieważ wiadomość zwrotna trafiłaby do znanego kontaktu, a nie do złośliwego.