Эксперты нашли в сервисе «Локатор» уязвимость для хакеров
В сервисе «Локатор» для устройств Apple найдена уязвимость, позволяющая свободно передавать конфиденциальные данные, — об этом предупредили эксперты. Среди таких данных могут оказаться пароли, перехваченные кейлоггерами. Подробности — в материале «Известий».
Новая уязвимость
О том, что в «яблочном» сервисе «Локатор» содержится опасная уязвимость, узнал немецкий специалист Фабиан Браунляйн — основатель берлинской компании Positive Security. «Локатор» предназначен для помощи в поиске потерянных гаджетов, включая iPhone, iPad, Mac, Apple Watch, AirPods и AirTag.
Браунляйн вместе с коллегами создал проверенное на практике аппаратное устройство, которое может компрометировать сеть «Локатора» по Bluetooth. Специалисты интегрировали кейлоггер (программу для записей действий пользователя) с Bluetooth-передатчиком ESP32 в USB-клавиатуру. Затем записи кейлоггера они закодировали во множество открытых ключей шифрования, имитирующих AirTag — отслеживающие устройства от Apple в виде брелоков.
Эти ключи при помощи устройства с Bluetooth исследователи отправили на принимающий гаджет Apple. Благодаря тому что сообщения были отформатированы должным образом, устройство создало отчет о местоположении, как если бы вступило в контакт с AirTag, и загрузило его в «Локатор». А уже из «Локатора» такие отчеты могут быть извлечены киберпреступниками, объединены и декодированы — таким образом, в их руках окажутся записи кейлоггера.
При этом специалисты отметили, что у Apple есть защита от слежки, которая уведомляет пользователей, если кто-то использует AirTag для наблюдения за ними. Но при атаке, спроектированной Фабианом Браунляйном и его коллегами, эта защита не активировалась. Поэтому сам факт атаки остается скрытным — весьма вероятно, что потенциальная жертва в принципе не сможет его обнаружить.
Проблема с историей
Впервые уязвимости в «Локаторе», позволяющие передавать через сервис произвольные данные, специалисты немецкой компании обнаружили еще два года назад. Тогда они даже разработали специальный инструмент, который пародийно назвали Send My (можно перевести с английского как «Отправь мои [данные]». Всё дело в том, что оригинальное название сервиса — Find My («Найди мой [iPhone]»).
Этот инструмент позволял публиковать данные в сети «Локатора», а затем извлекать их в любой точке мира. Apple быстро устранила уязвимость, допускавшую использование разработки исследователей. Однако на очередную уязвимость, найденную ими, американская корпорация пока никак не отреагировала. Между тем, как говорит в беседе с «Известиями» главный специалист отдела комплексных систем защиты информации компании «Газинформсервис» Дмитрий Овчинников, любая система, подобная «Локатору», обладала и будет обладать определенными уязвимостями в части неправомерного доступа к информации.
— Подобные риски — это часть платы за технические возможности, реализуемые при обмене информацией. Возможно, в будущем систему «Локатор» доработают до того уровня, что самые очевидные векторы нелегитимного использования ее возможностей будут устранены, — говорит Овчинников.
Однако, отмечает эксперт, если упор будет сделан на обеспечение безопасности, то, скорее всего, пострадает удобство в использовании данного сервиса. Поэтому перед командой разработки сегодня стоит сложная задача: сделать сервис одновременно удобным и популярным в использовании, но при этом обеспечить его безопасную работу.
Гендиректор компании «Стингрей Технолоджиз» и эксперт в области защищенности мобильных приложений Юрий Шабалин предполагает, что разработчики «Локатора» могли просто не рассматривать предложенный немцами вектор атаки, а потому и не предусмотрели защиту от него в своем продукте.
Гипотетическая угроза
Как сказал в беседе с «Известиями» ведущий специалист по анализу защищенности Уральского центра систем безопасности (УЦСБ) Андрей Жуков, атака через сервис «Локатор», смоделированная в лабораторных условиях, в реальности достаточно нецелесообразна для хакеров. Это объясняется сложностью ее реализации.
— Чтобы реализовать подобную кибератаку, прежде всего потребуется собрать или приобрести «шпионское» устройство (например, кейлоггер) и настроить передачу данных в определенном формате, а затем установить это устройство на компьютере, который представляет интерес для злоумышленника, — объясняет эксперт.
При этом Жуков обращает внимание, что злоумышленник должен либо иметь физический доступ к компьютеру, являющемуся целью атаки, либо обманом заставить потенциальную жертву подключить к своему компьютеру зараженное устройство. Как поясняет специалист, в описанном сценарии речь идет именно об аппаратной реализации, а не о программной «шпионской» утилите, которую можно установить удаленно.
Также, рассказывает Жуков, на целевом компьютере должно отсутствовать подключение к Сети и поблизости должно находиться хотя бы одно «яблочное» устройство, Bluetooth которого можно использовать для отправки данных. При этом если компьютер потенциальной жертвы обладает самостоятельным выходом в Сеть, то целесообразность использования такой уязвимости попросту теряется.
— Зачем использовать Bluetooth, если можно сразу отправлять данные напрямую через интернет? Кроме того, стоит помнить, что Bluetooth — это далеко не единственная беспроводная технология, при помощи которой можно отправлять данные, — говорит эксперт.
Он резюмирует, что куда проще было бы собрать такой же кейлоггер, оснастить его модемом с SIM-картой, а затем использовать для передачи данных 4G-сети или, на худой конец, Wi-Fi, где скорость передачи данных в разы выше и нет потребности в устройствах Apple вокруг.
Механизмы защиты
Для реализации атаки с использованием приложения «Локатор», описанной немецкими специалистами, злоумышленникам в первую очередь необходимо каким-то образом заставить пользователя подключить «шпионское» устройство к его компьютеру. По словам Юрия Шабалина, именно поэтому так важно не использовать чужие или случайно найденные устройства, а также с сомнением относиться к незнакомым флешкам.
Как объясняет собеседник «Известий», в свое время в кругу специалистов по информационной безопасности был очень распространен эксперимент, целью которого была проверка защищенности от социальной инженерии конкретной организации. Ее сотрудникам дарили, вручали на конференции или передавали другим способом флешку или какое-либо устройство с предустановленным вредоносным программным обеспечением.
— Когда потенциальная жертва подключала эту флешку или устройство к своему компьютеру, специалисты могли реализовать нужный вектор атак. Невероятно, но и тогда, и сейчас находятся люди, которые запускают подозрительные обнаруженные устройства, — вплоть до четырех человек из десяти, — говорит Юрий Шабалин.
Именно поэтому соблюдение элементарных правил кибербезопасности является лучшей защитой даже от самых изощренных кибератак. В то же время Дмитрий Овчинников советует пользователям на всякий случай не использовать системы наподобие «Локатора» на постоянной основе и отключать неиспользуемые каналы связи на личных гаджетах. Что касается сервиса Apple, то для его защиты, по мнению эксперта, стоило бы провести аудит информационной безопасности и проработать модели угроз.
— На основании этих данных можно усилить защиту сервиса, проработав его архитектуру. Это, в свою очередь, позволит в будущем исключить подобные уязвимости и существенно поднять уровень защищенности как самого «Локатора», так и его пользователей, — заключает специалист.
Фото: pixabay
Дмитрий Булгаков
По материалам: “Известия”
