A neves francia iOS-hacker, @pod2g nemrég közzétette twitteren, hogy talált egy sebezhetőséget az iOS SMS-kezelésében. Ugyan kód végrehajtására nem jó ez a biztonsági rés (tehát a szó legszorosabb értelmében vett úgymond „hackelésre” nem használható), de social engineering valamint jogi kisapuk segítségével akár hamis bizonyíték létrehozását is elősegítheti. Érdekesség, hogy ez egy úgynevezett zero-day exploit, azaz a hiba már az iOS (akkoriban még iPhoneOS) legelső verzióitól kezdve létezik – egészen az iOS 6 legutolsó bétájáig:
Found a heavy SMS flaw in iOS. Doesn’t involve code execution but still severe. Will write an article on my blog quick.
— pod2g (@pod2g) August 14, 2012
De mi is a tulajdonképpeni hiba?
A probléma ott kezdődik, hogy az SMS-ek nem sima szövegként, hanem egy PDU (protocol description unit, protokoll-leírási egység) nevű formátumban jutnak el a feladótól a címzetthez (ennek oka az, hogy a mobilhálózatokon ne kelljen minden egyes üzenettípusnak [pl. SMS és MMS] külön formátumot kitalálni, hanem egységes kódolással működjön a forgalmazás). Ez a formátum – természeténél fogva – támogatja bizonyos kiegészítő információk átvitelét is, amikkel nem minden mobilkészülék kompatibilis. Az egyik ilyen adat segítségével, az e-mailhez hasonló módon, a feladó megadhat egy másodlagos telefonszámot, amelyre az eredeti küldő szám helyett a címzett válaszolhat.
Ezt a válaszüzenetre való számot a legtöbb mobilszolgaltató nem ellenőrzi, így akárki akármit megadhat itt, például a segélykérő vagy egy másik magánszemély számát. Ehhez a problémához egy másik is társul: iOS alatt ez az információ hibásan van kezelve, így az SMS feladójaként a második, potenciálisan manipulált számot látjuk, s az eredeti feladó identitásának nyoma veszik.
Miért baj ez? Azért, mert így például mások nevében küldhetünk SMS-t – képzeljük el, amint a bankunk hivatalos számáról érkezett üzenetben a bankkártyánk PIN-kódjának megadására szólítanak fel minket, vagy egyik „családtagunk” adathalász oldalak linkjeit osztja meg velünk.
Ne higgyetek elsőre minden SMS-nek, és ha valami gyanús üzenet érkezik, akkor először érdemes utánanézni, mi lehet. Banktól érkező, PIN kódot kérő SMS-eket például csípőből figyelmen kívül lehet hagyni. Hasonlóképp igaz lehet ez az ismerőseink számáról kapott, de idegen nyelvű üzenetre, pláne akkor, ha az adott ismerősünkkel sosem kommunikáltunk idegen nyelven. Emellett célszerű lehet a szolgáltatónál letiltatni az emelt díjas üzenetek és hívások lehetőségét is, így megakadályozhatjuk azt is, hogy egy ilyen átverős SMS-re küldött válaszunk esetleg egy fizetős szolgáltatásra való feliratkozás legyen.
Egyelőre nem érkeztek olyan hírek, amelyek ilyen típusú átverésről szólnának, de mivel a lehetőség fennáll, így az alapvető elővigyázatosság nem árt. A legtöbb esetben ugyanis egy kis odafigyeléssel kiküszöbölhetjük, hogy az ilyen üzeneteknek végül mi igyuk meg a levét.
4 Comments
Mondjuk szomorú, hogy le kell írni ezt, hogy ha valakivel sose beszéltünk idegen nyelven de ő mégis idegen nyelvű sms-t küld, akkor ott valami gáz van. A banktól érkező PIN kód kérés is annyira átlátszó dolog. Sajnos mégis sokan esnek bele ilyen bugyuta látható hibába.. :/
Szerintem az Apple ezert van egesz jol meg a joindulatu hackerekkel, amit egyik nem lat eszreveszi a masik, egymast kiegeszitik es nekunk felhasznaloknak lesz jailbreak es egy biztonsagosabb rendszer.
Deizé, azt írtad, hogy ha megadnak ilyen válaszmezőt, akkor az iOS azt fogja látni és az eredeti feladó elveszik. Ilyen esetben ha vki a Bank számát hamisítja és PIN kódot kér, akkor ha válaszolok, akkor azzal a Bank automata rendszerének válaszolok és nem a támadónak, tehát senki sem szerezte meg az adatunkat, így ez nem használható információlopásra.
Ha meg emeltdíjas számot hamisítanak be, akkor meg úgy is látjuk h emeltdíjas körzetszám..
Szóval nem igazán értem hogy lehet ezzel bárkit is átverni. Max ismerőseinket viccelhetjük meg, hogy másik ismerős nevében írunk, de többet nem igazán..
Ez nem iOS hiba, pl: Nokia 3210 is így működik. Annak idején foglalkoztam ezzel a témával és ha jól tudom pont a GSM SMS szabvány tartalmazza hogyan kell kezelni a másodlagos contact info-t. Újabb készülékeken még nem próbáltam de szerintem ugyan így működik Androidon is.