Egy fehérkalapos hacker, Ryan Pickren, még tavaly decemberben jelzett az Apple felé nem kevesebb, mint hét sebezhetőséget.

Ezek közül háromnak a kombinációját fel tudta arra is használni, hogy a felhasználó engedélye nélkül elérhesse a kamerát és a mikrofont, mind az iOS, mind a macOS esetén.

A két évig az Amazonnak dolgozó biztonsági szakértő, akinek a honlapján karrierjének eddigi fő állomásaival ismerkedhetünk meg, így fogalmazott:

Bug hunting is all about finding assumptions in software and violating those assumptions to see what happens.

Azaz:

A hibakeresés nem más, mint feltételezések keresése a szoftverben. Megsértjük ezeket a feltételezéseket, és meglátjuk, mi történik ekkor.

A hibák arra épülnek, hogy az App Store-ból letöltött alkalmazásokkal ellentétben az Apple saját, gyári alkalmazásai nem kérnek külön hozzáférést a kamerához és a mikrofonhoz. Pickren a Safarit támadta meg, így elérte, hogy miután a felhasználót egy megfelelően szerkesztett oldalra irányította, ez a rosszindulatú oldal a böngészőn keresztül “kémkedhessen”.

Ezek után az Apple bug bounty programjának szabályai szerint jelezte a hibákat a cég felé. A három legkritikusabb, a kamerát és a mikrofont is érintő sérülékenységet az Apple néhány héten belül, míg a maradék négyet néhány hete, a március 24-én kiadott frissítésekben javította, a felfedezőt pedig egy 75 000 dolláros díjjal jutalmazta meg.

Az eset tanulsága egyrészt az, hogy koránt sem szabad azt hinnünk, hogy ha egy adott operációs rendszert használunk, attól automatikusan teljes biztonságban tudhatjuk magunkat, másrészt pedig érdemes mobilkészülékeinken is figyelmet fordítani az érzékeny adatok, így a kamera és a mikrofon kezelésére is. Ne adjuk meg automatikusan az engedélyt mindenféle alkalmazásoknak vagy weboldalaknak, vagyis mindig győződjünk meg arról, hogy valaki tényleg az-e, akinek mutatja magát.