Je opravdu iOS tak dobře zabezpečený?

[FILIPSN007]

Zdravím

je to necelý týden, co jsem si všiml na 9to5mac, že se na AppStore dostala aplikace, která je schopna zobrazit využití CPU, RAM ale také procesy na pozadí.

Normálně bych takovou aplikaci přehlédl, ale během pár hodin se dostala mezi nejprodávanější aplikace, dokonce před samotný Minecraft. O to více mě zajímalo co je na této aplikaci jiného než na zbytku nepotřebných systémových aplikací, které nás na iOS vůbec nezajímají.

Výhoda spočívala v tom, že tato aplikace je schopna zobrazit zda je vaše zařízení Jailbreaknuté a jakým způsobem. Aplikace zkontroluje, zda není vaše zařízení nějak infikováno, a ručně si můžete zkontrolovat podpisy aplikací.

iPhone je přece tak zabezpečený, že taková aplikace není potřeba ne?

Aplikace System Security Info od Německé společnosti SektionEins GmbH vydržela na AppStoru přibližně 3 pracovní dny. Poté ji Apple stáhl z těchto důvodů:

1. Ikona aplikace se podobá jiné
2. Aplikace zobrazuje data, která by mohla uživatele zmást

Stefan Esser, vývojář, se k tomu vyjádři:

"Tato aplikace, byla důkazem toho, že minulý rok Apple nevyřešil chybu v zabezpečení aplikací proti nahrazování aplikací v iPhonu."

Na stránkách uvádí příklad, že aktuálně Mc Afee oznámil, že jsou schopni se dostat k šifrovaným zprávám WhatsAppu, média chybně informovala o prolomení WhatsAppu. Ve skutečnosti se jedná pouze o nahrazení podepsané aplikace z AppStoru. V tuto chvíli je to možné provést dvěma způsoby. Man in the midle, v AppStoru si zvolíte aplikaci na stažení, zadáte heslo a stažení započne, v tuto chvíli, kdy proběhně autentizace, dojde k nahrazení aplikace jinou, která má vytvořená zadní vrátka. Druhý způsob je enterprise aplikace a certifikáty.

Obrana proti tomu ve skutečnosti neexistuje. Tento způsob odposlouchávání používal samotný Hacking Team, takže samozřejmě vládní agentury.



Na blogu SektionEins GmbH se můžete podívat jak aplikace vypadá a jak lze takové odposlouchávání zjistit. Zde pouze zjednodušeně popíši o co jde.

Aby bylo možné se na tuto aplikaci spolehnout, je nutné ji znova nainstalovat z AppStoru, protože i tato aplikace může být nahrazena a nemusela by potom zobrazovat pravdivé informace.

Základem je nalézt v procesech spuštěnou aplikaci a podívat kdo ji podepsal, musí tam být App Store, pokud je tam něco jiného, aplikace byla nejspíš nahrazena. Může se tam ještě zobrazit adhoc, to znamená, že je to předinstalovaná aplikace, v dalším updatu to mělo být zaměněno za "builtin".

Při vývoji této aplikace byly použiti prostředky které jsou volně dostupné vývojářům. Nejedná se tedy o aplikaci, které by využívala neveřejné API. Tato funkce již v iPhonu je, jenom není uživatelům zobrazována.

Já stihl tuto aplikaci koupit, a mám ji zazálohovanou. Jak dlouho bude funkční nevím. Doufám, že co nejdéle. Jak zmiňují na svých stránkách, není to 100%, pro bližší zkoumání by byla nutná expertíza. Firma jako taková se zaměřuje na zabezpečení mobilních operačních systémů.

Vím, že brzy tato aplikace nebude funkční, a že nedokáže bez updatů pokrýt všechny hrozby, ale ten kdo v tuto chvíli vlastní tuto aplikaci, má nástroj, kterým je schopen odhalit odposlech vládních agentur.

Tak co? Kdo jsi stihl koupit?


EDIT: Na AppStoru se začínají objevovat aplikace, které parazitují na jménu této originální. Funkčně jsou však úplně jiné, pozor na to. Již koupit nelze.


Zdroj: SektionEins GmbH, 9to5mac

[ls8]

Jestli jsem to dobře pochopil, tak ta aplikace umí pouze zobrazit digitální podpis nainstalovaných aplikaci? Neprovádí žádnou skutečnou analýzu chování aplikace, neumí vypsat protokoly komunikace té aplikace - tedy jaká data, kolik dat, kam posílá a odkud naopak stahuje? Pro uživatele bez JB, kteří si aplikace kupují pouze na AppStore to tedy má jaký smysl?

[FILIPSN007]

Že nemáš Jailbrek neznamená, že nemůžeš být ohrožen. I přesto, že stahuješ aplikace z AppStoru může být aplikace před nainstalováním nahrazena, a nemusíš o tom vědět. (Man In The Middle)

Je to hlavně pro případy, kdy se ti někdo fyzicky zmocní iPhona a nainstaluje třeba zmíněné certifikáty nebo Jailbreak, bavíme se o podnikové sféře.

Samozřejmě aplikace byla psána tak, aby prošla kontrolou Applu, nelze tak očekávat, že na zařízeních bez JB budou dostupné bližší informace o komunikaci jednotlivých aplikací.

[ls8]

Tak pokud se bavíme o podnikové sféře, tedy tam, kde se používá MDM, tak tam si uživatel sám nenainstaluje nic, ani takovouhle appku.
Neslyšel jsem o funkčním útoku typu MITM, který by útočníkovi umožnil podvržení celého AppStoru nebo konkrétní apikace tak, aby uživateli byla standardní cestou (tzn. přes aplikaci AppStore v jeho zařízení) podvržena instalovaná aplikace.
Spíš bych to viděl tak, že aplikace byla hlavně určena jailbreakerům, aby si mohli zkontrolovat, že jejich ukradená aplikace ze serveru XY v Číně, Rusku, nebo cojávím odkud se to stahuje, je podepsaná k komunitě uznávaným crackerem, tedy že je určitá jakás-takás šance, že aplikace neobsahuje backdoor. Na takových aplikacích Apple samozřejmě nemá žádný zájem, a navíc, pokud aplikace používala (jako že téměř jistě používala) neveřejné APIs, tak ji oprávněně vyhodili, jako už moho jiných předtím.
Chápu, že programátor je naštvaný, protože mu překazili byznys (nevím, jestli aplikace byla zdarma nebo placená), a tak z toho teď dělá aféru, ale to je tak všechno, co s tím může dělat. Osobně v tom žádný průšvih nevidím.

[FILIPSN007]

Nenainstaluje to máš pravdu, a jak je proti tomu zabezpečený celý mobilní telefon? proti Jailbreaku?

Já o tom právě slyšel, a zas takový problémem to není, je to pár měsíců zpátky, pokusím se to dohledat.

Určitě mu to překazili, appka stála 1 euro, důvod vyhození z AppStoru byl ofocen, otázka zda je to pravda no. Že byli použity neveřejné APIs nebyla řeč.

EDIT: Našel jsem http://researchcenter.paloaltonetworks.com/2016/03/acedeceiver-first-ios-trojan-exploiting-apple-drm-design-flaws-to-infect-any-ios-device/

[ls8]

Já teda nevím, jestli jsi to celé četl, ale tenhle útok není MITM toho typu, že by mi někdo přesměroval komunikaci a na můj požavadek mi vracel svůj podvržený obsah. Jedná se opět o techniku, kterou zloději mobilních aplikací v Číně používají pro instalaci kradených aplikací, musíš k tomu navíc mít v počítači místo iTunes upravený pirátský software, který umí vygenerovat falešný certifikát o nákupu aplikace. Pouze jde o to, že pro tento způsob kradení aplikací nemusíš mít jailbreak, a že se v minulosti podařilo do AppStoru propašovat tři aplikace, které od uživatele chtěly, aby si nainstaloval právě ten Aisi Helper, který teprve prováděl instalaci podvržených aplikací. Celé to navíc fungovalo pouze v Číně a předpokládalo a předpokládá to aktivní přístup od uživatele, který chce a ví, že instaluje aplikace, které nepocházejí z AppStore. Tedy s výjimkou těch tří aplikací v minulosti, které se dostaly přímo do AppStoru (právě proto, že to bylo vázané na umístění uživatele jen na Čínu se nepovolené chování neprojevilo při kontrole aplikace na území USA - to vývojář vymyslel chytře, to je nutno uznat).

Jak jsou iPhony zabezpečené proti JB nevím, naposledy jsem měl JB na iPhonu první generace z USA kvůli odbloku.

[FILIPSN007]

Jak to dělají v Číně fakt nevím, název je FairPlay Man-In-The-Middle.

Celkem na pytel, že to obejde i MDM. Dobře, používají k tomu appku v PC, jenom tak pro zajímavost, kolik asi uživatelů tohoto fóra používají nějaký jiný prográmek než iTunes, myslím tím programy jako iExplorer, AnyTransfer. Prográmky na vyčíštění Others. Teoreticky to může být v kterémkoli programu v PC.

Také zmiňují, že není problém to použit kdekoliv jinde na světě.


EDIT: Dočteno, MITM zde spočívá v tom, že oni využijí komunikace mezi PC a iOS zařízení, kde není nic vázaného na Aplikaci nebo Apple ID. Stačí mít tedy v PC jakoukoliv aplikaci, které umí navázat spojení s iOS zařízením jako iTunes a jseš prostě v prdeli. Takže se vracím k tomu, že to možné je. Název možná není korektní, ale hrozba je reálná a navíc ze strany Applu nevyřešená.