[情報] 在公共場所用電腦幫iPhone充電可能導致個資外洩

看板iOS作者TeacherLin (林老師)時間6年前 (2018/04/21 22:43)推噓6(7推 1噓 4→)

留言12則, 11人參與討論串1/1

https://www.ithome.com.tw/news/122560 文/李建興 | 2018-04-20發表賽門鐵克在RSA會議上面揭露，iOS裝置存在Trustjacking漏洞，駭客能誤導使用者信任惡意電腦，授予駭客iOS裝置的控制權，而駭客之後便能以iTunes Wi-Fi同步功能，持續的遠端控制該裝置。目前Apple已經採取輸入密碼再驗證的方式減緩Trustjacking攻擊，但是除非使用者自己提高警覺，否則仍有被攻擊的可能。賽門鐵克現代作業系統資深安全副總裁Adi Sharabani和現代作業系統研究小組負責人 Roy Iarchy於4月18日在舊金山舉行的RSA安全大會上發表演講，揭露利用iTunes Wi-Fi同步功能的Trustjacking攻擊。 Roy Iarchy提到，過去這類型的攻擊，都在討論未授權的USB連接，以獲取行動裝置敏感資料的方法，但是現在揭露的Trustjacking攻擊只需要一次性的實體連結，後續透過遠端連線就能達到相同目的，而且影響更為長久。 iTunes Wi-Fi同步功能允許iOS裝置與iTunes透過Wi-Fi連線進行同步。要啟用iTunes Wi-Fi功能之前，需要先透過USB線連結電腦以及iOS裝置，第一次連接時，iOS裝置會彈出選項，詢問使用者是否信任該電腦，在使用者點選信任後，電腦便能透過標準iTunes API 和iOS裝置進行溝通，而且即便使用者中斷iOS裝置與電腦的連線，背景的連線仍會持續進行。一旦使用者同意信任該電腦，電腦便能存取iOS裝置上的照片、執行備份、安裝應用程式，當然也包含啟用iTunes Wi-Fi，而這些工作都不需要iOS裝置額外確認，因為Apple預設相信操作者為iOS裝置擁有人。駭客利用Trustjacking漏洞，可以輕鬆的透過網路反覆請求iOS裝置的螢幕結圖，便能持續獲得使用者的敏感資訊，而且沒有其他有效的機制可以終止惡意電腦的連線。整個過程看似繁雜，駭客不只需要使用者將iOS裝置連接到iTunes，而且還要啟用iTunes Wi-Fi同步功能。Roy Iarchy說：「想像一下，當你在機場的時候，這一切都會變的合理，彈出信任訊息你會以為要對充電行為收費，會自然以為是合法的服務」使用者一旦信任該惡意電腦後，其他程序惡意程式可以自動執行。 Apple對此漏洞暫時採取再驗證的機制，當iOS裝置要信任該電腦時，需要重新輸入密碼以確保為使用者本人的操作。但是Roy Iarchy表示，這個機制並不會完全解決Trustjacking 攻擊，而且把驗證工作完全交給使用者，一旦使用者選擇信任惡意的電腦，那攻擊仍會發生。 -- 本來充電就是要用充電器充電比較快速也比較安全上班用電腦充電的大概都不忙吧才有空這樣做 -- ※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 133.137.106.80 ※ 文章網址: https://www.ptt.cc/bbs/iOS/M.1524321790.A.5CE.html

推

pm2001

04/21 22:48, 6年前 , 1^F

04/21 22:48, 1^F

推

sportsyzm

04/21 23:12, 6年前 , 2^F

04/21 23:12, 2^F

推

horseorange

04/21 23:38, 6年前 , 3^F

04/21 23:38, 3^F