1,500 додатків для iOS вразливі до загроз безпеки: ось як можна вберегтися

Операційні системи Apple зазвичай вважаються виключно безпечними та захищеними, але навіть OS X та iOS не є невразливими до атак хакерів та серйозних багів. Нещодавно компанія SourceDNA, що займається питаннями безпеки, виявила, що вразливість HTTPS може бути використана в близько 1500 додатках для iOS. Хакери, які виявили цю вразливість, можуть отримати доступ до конфіденційної інформації, такої як номери кредитних карток та зашифровані паролі, через відповідні додатки.

Ми виявили, що переважна більшість додатків з топ-100 безкоштовних додатків в App Store є безпечними.

Ми проаналізували програми, які найчастіше завантажуються в App Store, і виявили, що дуже мало найпопулярніших безкоштовних і платних додатків все ще постраждали від цієї помилки. Незважаючи на це, найкраще перевірити, чи не є ваші програми вразливими, і дізнатися, як захистити себе.

Ось все, що вам потрібно знати.

Ось як хакери використовують вразливість

За даними фірми, що займається безпекою, близько двох мільйонів людей встановили додатки, які страждають від уразливості HTTPS-crippling. Серед них, зокрема, Citrix OpenVoice Audio Conferencing, мобільний додаток Alibaba, фільми від Flixster з гнилими помідорами, KYBankAgent 3.0 та Revo Restaurant Point of Sale. Дослідники намагаються тримати повний список додатків у таємниці, щоб не відкривати користувачів iOS для більшої кількості хакерів, які могли б використати вразливість у недобрих цілях. Однак на своєму сайті SourceDNA пропонує розробникам інструмент, за допомогою якого вони можуть перевірити, чи безпечні їхні програми.

Дослідники виявили, що вразливість пов’язана з проблемою в старій версії бібліотеки відкритого коду під назвою AFNetworking, яка дозволяє розробникам додавати мережеві можливості до своїх додатків. AFNetworking виправила проблему близько трьох тижнів тому, і багато розробників вже оновили свої додатки для iOS, щоб закрити дірку, але щонайменше 1500 додатків для iOS все ще залишаються вразливими. Серед компаній, які вже виправили недолік – Yahoo, Uber і Microsoft.

SourceDNA пояснила в блозі, що будь-який додаток, який все ще використовує стару версію коду AFNetworking, вразливий до атак типу “людина посередині”, які дозволяють хакерам розшифровувати зашифровані HTTPS-дані. Ось як це працює: Хакери, які хочуть використати цей недолік, просто підключаються до Wi-Fi мережі кав’ярні, щоб відстежувати цільовий пристрій. Потім хакери надсилають на пристрій підроблений сертифікат рівня захищених сокетів. Як правило, пристрій розуміє, що сертифікат є підробленим, і негайно розриває з’єднання. Однак пристрої з додатками, які використовують стару версію коду AFNetworking, мають логічну помилку, яка дозволяє підробленому сертифікату пройти без перевірки безпеки.

Причина, по якій перевірка ніколи не виконується цими додатками, полягає в тому, що AFNetwork версії 2.5.1 не пропонує закріплення сертифікатів, яке гарантує, що додатки використовують певний сертифікат для HTTPS-аутентифікації та шифрування. Відсутність цієї додаткової перевірки безпеки залишає відповідні програми повністю відкритими для хакерів. Тепер, коли SourceDNA публічно розкрила вразливість, розробники додатків, швидше за все, почнуть виправляти цей недолік, але це може зайняти деякий час.

Ось як можна захистити себе

Виходячи зі звіту, схоже, що хакери повинні націлитися на ваш пристрій, використовуючи публічні мережі Wi-Fi, такі як ті, що знаходяться в кафе і магазинах. Наразі слід уникати будь-яких ненадійних мереж Wi-Fi. Ви також можете вимкнути фонове оновлення додатків на вашому iPhone або iPad, щоб вони не намагалися підключатися до відкритих мереж.

Якщо ви стурбовані тим, що на вашому iPhone або iPad можуть бути встановлені уражені програми, ви можете перевірити їх за допомогою інструменту SourceDNA. Вам також слід оновити всі свої програми, якщо розробники вже випустили оновлення для усунення дірки. Ви можете оновити свої програми, зайшовши в App Store і перейшовши на вкладку “Оновлення” в правому нижньому куті.

Ми використовували інструмент SourceDNA для пошуку декількох популярних додатків в App Store, щоб побачити, які з них постраждали від помилки. Ми виявили, що переважна більшість додатків з топ-100 безкоштовних додатків в App Store є безпечними. Ми також перевірили кілька найпопулярніших платних додатків і виявили дуже мало постраждалих.

Ось повний список найбільш поширених додатків:

• Google – немає вразливих додатків
• Yahoo – Yahoo Finance версія 2.3.2
• Microsoft – OneDrive версія 5.1
• Facebook – немає вразливих додатків
• Snapchat – немає вразливих додатків
• Instagram – вразливих додатків немає
• Pandora – немає вразливих додатків
• Netflix – без вразливих додатків
• WhatsApp – немає вразливих додатків
• Pinterest – Немає вразливих додатків
• Twitter – немає вразливих додатків
• Spotify – немає вразливих додатків
• Skype – немає вразливих додатків
• Amazon – немає вразливих додатків
• Uber – Uber версія 2.64
• The Weather Channel – Без вразливих додатків
• Vine – Без вразливих додатків
• SoundCloud – SoundCloud версія 3.8.1
• eBay – немає вразливих додатків
• Waze – без вразливих додатків
• Beats Music – Немає вразливих додатків
• Viber – Без вразливих додатків
• Shazam – Без вразливих додатків
• Yelp – Немає вразливих додатків
• Fitbit – немає вразливих додатків
• Tinder – Без вразливих додатків
• Dropbox – без вразливих додатків
• Tumblr – немає вразливих додатків
• Slack – немає вразливих додатків
• Afterlight – Немає вразливих програм
• Minecraft – Немає вразливих програм
• Ustwo – Немає вразливих додатків
• Dark Sky – без вразливих додатків

Як бачите, кількість популярних додатків, які постраждали, насправді дуже мала, і ця кількість продовжує зменшуватися в міру того, як компанії проводять оновлення. Хоча 1 500 додатків звучить як величезна кількість, враховуючи мільйони додатків в App Store, реальність набагато менша, ніж ви можете собі уявити. Тим не менш, краще перестрахуватися, ніж потім шкодувати, тому перевірте свої програми тут.

Рекомендації редакції

• Щойно придбали новий iPhone? Ось 12 порад та підказок, які допоможуть його освоїти
• Що таке Amazon Music: все, що вам потрібно знати
• Ця прихована функція iOS 16 перетворила мій iPhone в ідеальний гаджет для пошуку музики
• Скільки коштує iPhone 14? Ось скільки саме він коштує
• Вибачте, але дозволяти сторонні магазини додатків для iPhone – погана ідея

Source: digitaltrends.com