Se é certo que se pode dizer que os iPhones são equipamentos inerentemente seguros, também há que estar consciente que não há segurança que consiga resistir à vulnerabilidade dos próprios utilizadores, e foi descoberto um ataque contra 13 iPhones que recorriam ao MDM (mobile device management) para obter total controlo sobre os equipamentos.
Se no seu estado normal o iOS se pode considerar seguro, no caso de um iPhone que aceite a instalação de certificados MDM de uma entidade terceira, tudo isso volta à estaca zero - pois estamos a dizer ao iPhone e iOS que estamos a confiar completamente em tudo o que esse entidade queira fazer. Tradicionalmente, é o tipo de ferramenta usada por developers ou empresas para testarem ou distribuírem as suas apps sem ficarem dependentes da App Store, e para fazerem a gestão dos iPhones remotamente.
A grande dúvida é como é que neste ataque que agora foi descoberto, afectando um número extremamente reduzido de iPhones (apenas 13) os atacantes conseguirão ter convencido as vítimas a seguir o processo, repleto de avisos bem assustadores, para aceitarem essa gestão remota por parte de desconhecidos - mesmo considerando que um dos servidores maliciosos utilizados se tentava camuflar usando o nome de aspecto oficial "ios-certificate-update.com".
Na prática será um tipo de ataque equivalente ao que é feito por supostos "técnicos de assistência remota da Microsoft", que contactam utilizadores e lhes pedem para fazer alguns testes de segurança nos seus PCs, e que a determinada altura tentam fazer com que o utilizador faça ele próprio a instalação de um qualquer malware que dá controlo total da máquina ao atacante. O processo para um iPhone teria que ser ainda mais rebuscado, mas considerando os milhões de potenciais vítimas espalhados pelo mundo, não me admiraria se esta vertente se começasse a tornar cada vez mais popular.
Ao estilo do que acontece nos Android (de não aceitar a instalação de apps de fora da Play Store), também no iOS nunca deverão aceitar a instalação de qualquer certificado que queira fazer a gestão do vosso equipamento - a não ser, obviamente, que saibam a 100% o que estão a fazer.
Sem comentários:
Enviar um comentário (problemas a comentar?)