Foto: Getty
Sicherheits-Forscher am Dienstag vorgestellt, eine Methode, die hätten erlaubt Hackern zu umgehen, eine Breite Palette von kommerziellen Produkten zum Schutz von Apple-Geräten vor malware. Zwar gibt es keine Beweise, dass die bypass-wurde immer dazu benutzt, die Frage ging unbemerkt seit über einem Jahrzehnt.
Die Sicherheitsanfälligkeit wird, wie Anbieter wie Google und Facebook überprüfung der Herkunft von code, um sicherzustellen, dass es noch nicht geändert wurde. Werkzeuge, die von diesen Unternehmen, und einige andere, verwenden Sie die offiziellen code-signing APIs, um zu bestätigen, dass der code vertrauenswürdig ist. Die Methode war fehlerhaft, allerdings macht es für hacker ein leichtes, pass off code, als wären Sie von Apple signiert—zu tarnen, wie die von Apple, in anderen Worten.
Das Problem wurde entdeckt, die von der security-Firma Okta im Februar 2018. Apple kontaktiert wurde bald nach und die betroffenen Entwickler wurden anschließend benachrichtigt. Die betroffenen Anbieter, laut Okta, gehören: VirusTotal, Google, Facebook, Ziel, Entwicklung, F-Secure, Ziel-Sehen, Yelp, und Carbon-Black.
Code-signing ist eine Sicherheit zu konstruieren, wobei die kryptografisch erzeugten Signaturen werden verwendet, um zu überprüfen, die Quelle des Codes. Der code ist Digital signiert mit einem privaten Schlüssel kennt nur der Autor. Dies ist gekoppelt mit einem öffentlichen Schlüssel, die jeder verwenden kann, um zu überprüfen, dass der code signiert wurde, mit dem der Autor seinen privaten Schlüssel. Aber der Prozess von-security-Hersteller check der Signaturen wurde fehlerhaft ist, ist theoretisch von Hackern zu imitieren Apple.
“Verschiedene Arten von Werkzeugen und Produkten signieren von code zu implementieren, verwertbare Sicherheit; dieses schließt whitelisting -, antivirus -, incident-response und bedrohlich Jagd-Produkte,” Okta-Ingenieur Josh Pitts schrieb in einem blog. “Zu untergraben, ein code signing-Implementierung für einen großen OS, brechen ein core-security-Konstrukt, das viele abhängen, die für die Tag-zu-Tag-security-Operationen.” (Die Muttern und Schrauben des Problems sind bekannt durch Pitts hier.)
Das problem, die möglicherweise oder möglicherweise nicht immer ausgenutzt wurde, wurde entdeckt, gemeldet, und bekannt gegeben, mit einem kurzen Zeitraum. Alles, was übrig bleibt ist wirklich ein wenig finger-pointing.
In Bemerkungen veröffentlicht von Okta, Apple scheint zu zeigen, es war den Entwicklern die Schuld für das nicht ausführen der Prüfungen ordnungsgemäß. Die Entwickler, mittlerweile sagen, dass die Dokumentation von Apple—das hat angeblich aktualisiert worden—war sowohl verwirrend und unklar. Angesichts der Vielzahl der betroffenen Produkte, letzteres scheint mehr als wahrscheinlich.
Haben Sie einen Tipp? E-Mail an reporter: dell@gizmodo.com