Max Home IndustryИсследователи из Института Фраунгофера продемонстрировали простой и повторяемый способ доступа к данным учетной записи, хранящимся на iPhone, заблокированном паролем.
Совершенной безопасности не существует, но она может быть лучше, чем нынешнее положение дел. Исследователи из Института Фраунгофера в Германии продемонстрировали простой и повторяемый способ доступа к учетным записям, включая пароли, хранящиеся на iPhone.
Они должны физически владеть взломанным телефоном, но это делает потерянные или украденные телефоны совершенно небезопасными, что является плохой новостью для корпоративного использования iPhone. Учитывая, что процедура занимает всего шесть минут, возможно даже, что телефон может быть удален, скомпрометирован и возвращен без того, чтобы пользователь узнал, что вся информация его учетной записи была загружена.
Атака направлена против связки ключей, менеджера учетных записей / паролей, в котором хранятся сведения о пользователях, включая пароли и сертификаты, используемые для доступа к сторонним системам, таким как корпоративные сети и учетные записи электронной почты.
Связка ключей считается безопасной, поскольку в заблокированном телефоне для доступа к ней требуется пароль пользователя. К сожалению, есть способы получить доступ к связке ключей, не зная пароля, и настоящим сюрпризом является то, что как только вы попадаете в связку ключей, она содержит большой объем информации в незашифрованном виде. Другими словами, для его защиты он полагается на основную систему безопасности доступа к телефону.
Правильный способ выполнить эту работу — зашифровать все в цепочке для ключей, используя код доступа как часть ключа. Причина, по которой связка ключей не делает этого, заключается в том, что удобнее разрешить телефону устанавливать соединения, не запрашивая у пользователя пароль. Другие телефоны вполне могут пойти на такой же компромисс между удобством и безопасностью.
Атака начинается с взлома телефона, чтобы на него можно было установить программное обеспечение. Затем устанавливается SSH-сервер, который позволяет устанавливать и запускать приложения, и загружается сценарий доступа к цепочке ключей, который выводит данные учетной записи, хранящиеся там. В целом это занимает всего несколько минут, и оно воспроизводимо и не зависит от каких-либо специальных знаний пользователя.
Причина того, что к данным связки ключей можно так легко получить доступ, заключается в том, что некоторые из них не зашифрованы. Имя пользователя и сведения о сервере для всех учетных записей открыты, а для некоторых типов учетных записей открыт даже пароль, включая обменную почту, VPN (как IPSec, так и PPP) и LDAP.
Исследователи признают, что пароли для некоторых типов учетных записей надежно зашифрованы, и для получения доступа к ним потребуется гораздо больше работы. Они также отмечают, что во многих случаях доступа к серверам и учетным записям электронной почты будет достаточно, чтобы узнать другую информацию, которая в конечном итоге приведет к тем же секретам, с помощью служб восстановления пароля, которые отправляют пароль на учетную запись электронной почты.
Вы можете прочитать о деталях в документе, который включает в себя таблицу с указанием типов учетных записей, которые защищены, а какие видны, когда вы находитесь внутри связки ключей.