Kad je u pitanju svijet mobilnih uređaja, obično sav „teret“ malware koda ili virusa ide u jednom ili dva pravca – prema platformi Android ili nešto novijoj Windows (Phone) 8. Iako statistički to i ima nekakvog smisla, smatrati da je bilo koja platforma u potpunosti otporna je iluzorno.
Tako i iOS ima svojih kritičnih boljki, a na koje upozoravaju istraživači sigurnosne kompanije Skycure. Uređaji čak ne moraju biti jailbreakani jer ovaj problem dolazi kao „dio standardnog paketa“. Jasno je da problem ne dolazi niti od aplikacija iz trgovine koje su prilično strogo kontrolirane prije same objave i mogućnosti preuzimanja; a i nakon instalacije se pokreću u sandboxu.
Što je onda posrijedi? U pitanju su „provisioning profiles“, koje koriste određene mobilne aplikacije, mobilni operateri, i dr. Ti posebni iOS profili, ili bolje rečeno konfiguracijske datoteke su u stanju promijeniti nekoliko ključnih dijelova sustava poput Wi-Fi, VPN, e-mail, APN postavki itd.
„Dok te datoteke obično bivaju iskorištene za konstruktivne potrebe, pri tom pružajući određenu vrijednost, te iste mogućnosti mogu biti iskorištene od strane napadača kako bi zaobišli Appleov sigurnosni model i uzrokovali značajnu štetu korisniku“, navode u Skycure Security.
Ta moguća šteta proizlazi iz činjenice da je malicioznim profilom moguće preuzeti daljinsku kontrolu nad uređajem, imati potpuni pregled nad aktivnostima korisnika, preusmjeriti sav podatkovni promet kroz posebno konfigurirani server napadača. Kompanija navodi kako je u najgoroj mogućoj varijanti moguće da napadač preuzme identitet vlasnika i tako odrađuje „poslove“ po društvenim mrežama ali i bankovnim podacima/računima.
Skycure, logičnim slijedom, planira predstaviti i svoje rješenje za ovakav sigurnosni rizik i to u vidu mobilnog firewalla s cloud komponentom. Do tada savjetuju da korisnici instaliraju potvrđene profile samo sa adresa kojima potpuno vjeruju.
U slučaju da netko misli kako je na uređaj stavio neprovjeren profil, u kompaniji savjetuju da ih se kontaktira s detaljima na e-mail adresu [email protected], a kreirali su i poseban demo koji iskorištava ove propuste. Ako tko želi testirati o čem je riječ, treba kontaktirati kompaniju na [email protected].
