Badacz bezpieczeństwa iOS Will Strafach zgadza się z niedawnym twierdzeniem, że Apple może zrobić więcej, jeśli chodzi o zwalczanie NSO i innych, którzy wykorzystują luki zero-day w iOS.
Wynika to z raportu Amnesty International, który powiedział, że Oprogramowanie szpiegujące NSO Pegasus było wykorzystywane do przeprowadzania ataków typu zero-click przeciwko działaczom praw człowieka, prawnikom i dziennikarzom…
tło
NSO Group produkuje oprogramowanie szpiegujące o nazwie Pegasus, które jest sprzedawane organom rządowym i organom ścigania. Firma kupuje od hakerów tak zwane luki dnia zerowego (które nie są znane Apple), a jej oprogramowanie ma być w stanie instalować exploity zero-click – w których cel nie wymaga interakcji użytkownika.
W szczególności doniesiono, że samo otrzymanie konkretnego iMessage – bez otwierania go lub interakcji z nim w jakikolwiek sposób – może pozwolić na złamanie iPhone’a i ujawnienie danych osobowych.
NSO sprzedaje Pegasusa tylko rządom, ale jego klientami są kraje o wyjątkowo słabych wynikach w zakresie praw człowieka – z przeciwnikami politycznymi i innymi celami.
Kryptograf Johns Hopkins mówi, że Apple może więcej
Profesor Johns Hopkins i kryptograf Matthew Green powiedział na początku tego tygodnia, że są dwa kroki, które Apple może podjąć aby utrudnić takie ataki.
Apple będzie musiał przepisać większość kodu iMessage w pewnym języku bezpiecznym dla pamięci, wraz z wieloma bibliotekami systemowymi, które obsługują parsowanie danych. Będą również musieli szeroko wdrożyć środki łagodzące ARM, takie jak PAC i MTE, aby utrudnić eksploatację […]
Apple już wykonuje telemetrię zdalną, aby wykryć procesy robiące dziwne rzeczy. Ten rodzaj telemetrii można by maksymalnie rozszerzyć, nie niszcząc jednocześnie prywatności użytkownika.
Czy Strafach zgadza się, że walka z NSO wymaga więcej wysiłku
Znany badacz bezpieczeństwa i łamacz więzień dla iPhone’a Will Strafach zgadza się, że Apple wydaje się nie robić wystarczająco dużo. Jednym z problemów jest to, że iOS nie zapewnia badaczom bezpieczeństwa wystarczającego dostępu do dzienników i innych danych, które pomogłyby określić, jak działają takie ataki.
Jest wiele rzeczy, które Apple mógłby zrobić w bardzo bezpieczny sposób, aby umożliwić obserwację i obrazowanie urządzeń iOS w celu wyłapania tego typu złego zachowania, ale nie wydaje się to być traktowane priorytetowo” – mówi badacz bezpieczeństwa iOS Will. Strafach. „Jestem pewien, że mają ku temu uczciwe powody polityczne, ale jest to coś, z czym się nie zgadzam i chciałbym zobaczyć zmiany w tym myśleniu”.
Apple nie dodał do swojego pierwotnego oświadczenia, potępiając oprogramowanie szpiegujące, mówiąc, że nie jest to duże zagrożenie, ale nadal zwiększa bezpieczeństwo.
Ataki takie jak te opisane są wysoce wyrafinowane, kosztują miliony dolarów, często mają krótki okres trwałości i są wykorzystywane do atakowania konkretnych osób. Chociaż oznacza to, że nie stanowią one zagrożenia dla przeważającej większości naszych użytkowników, niestrudzenie pracujemy nad obroną wszystkich naszych klientów i stale dodajemy nowe zabezpieczenia dla ich urządzeń i danych.
Zdjęcie: Michaił Niłow/Pexels
FTC: Używamy automatycznych linków partnerskich do zarabiania pieniędzy. Jeszcze.
Sprawdź 9to5Mac na YouTube, aby uzyskać więcej informacji o Apple: