В ходе ежегодной конференции по компьютерной безопасности Black Hat исследователь Google Project Zero Натали Сильванович рассказала о возможности взлома iPhone через встроенный мессенджер iMessage. Наличие впечатляющей функциональности сервиса и служит основной проблемой в безопасности — чем больше у приложения возможностей, тем выше риск, что оно будет взломано.

За последние месяцы Apple уже успела исправить по меньшей мере шесть уязвимостей iMessage. Но многие «дыры» в безопасности сервиса так и остались открытыми. iMessage — сложная платформа, включающая интеграцию с рядом приложений, возможность добавления видео, фото, аудио, поддержку Animoji и рядом дополнительных возможностей. Каждое расширение и взаимосвязь с посторонним ПО дают хакерам больше шансов найти уязвимость.

В ходе изучения алгоритма работы сервиса Натали Сильванович нашла способ получить пользовательские данные с помощью отправки всего одного сообщения. Специально созданный текст отправляется абоненту, сервер iMessage воспринимает его как системную команду, а дальше происходит отправка запрошенных данных назад на атакующую сторону. При этом получателю даже не нужно открывать приложение.

Несколько других уязвимостей сервиса позволяют интегрировать в систему вредоносный код и, опять-таки, при помощи отправки всего одного специального сообщения через iMessage.

Решение Apple о повышении денежного вознаграждения за найденные в её программном обеспечении уязвимости вполне логично. Любая подобная «дыра» в безопасности на рынке эксплойтов стоит хороших денег. В интересах корпорации — узнать о найденной проблеме из первых уст, минимизировав последствия и оперативно закрыв уязвимость.

Сильванович подчеркнула, что искала подобные эксплойты в Android, но обнаружить их не сумела. Ранее ей удалось отыскать недостатки в работе WhatsApp, FaceTime и протоколе видеоконференций webRTC. Все ошибки, на которые указала хакер, Apple благополучно исправила. Лучшим способом защиты, по мнению программиста, остаётся постоянная установка свежих обновлений на смартфоны и ноутбуки.

Источник: wired.com