Хакери показаха слабите места в защитите на iPhone и на популярни уеб-услуги

	Хакери показаха слабите места в защитите на iPhone и на популярни уеб-услуги
	Различни начини за проникване в смартфона Apple iPhone и кражба на потребителска информация от популярни уеб-услуги бяха обсъждани на провелата се през почивните дни в Сан Диего конференция по компютърна безопасност, съобщи в неделя сайтът CNET. В частност, експертът по кибербезопасност Ерик Монти демонстрира начин за получаване на пълен достъп до чужд iPhone. За целта той използва „вратичка”, открита през лятото от създателите на услугата JailBreakMe (уеб-услуга, опростяваща процедурата по проникването в устройствата на Apple). В демонстрацията на Монти на жертвата предложили линк към уебсайт, от който трябвало да свали файл в PDF формат. Във файла се криела програма, предоставяща неограничени привилегии в системата (rootkit). В крайна сметка злосторникът получавал възможност да изпълнява всякакви действия в устройството на жертвата. Монти също така разкрива някои възможности, с които се сдобива хакерът в дадения случай. Например, ако на устройството на жертвата е инсталирана програмата Square, която служи за извършване на разплащания чрез кредитната карта на потребителя, злосторникът може да получи достъп до транзакциите. При това, както отбелязва Монти, причината за пробива трябва да се търси по-скоро в проблемите на самата операционна система iOS, отколкото в уязвимостта на Square. Участвалите в конференцията експерти демонстрираха и начините за кражба на потребителски данни от ползващите различни социални мрежи, като Facebook, Twitter, Hotmail и Flickr. Работата е там, че тези мрежи използват обикновения, некриптиран хипертекст протокол http, поради което злосторникът може да прихване логина и паролата на потребителя. За целта е достатъчно само да се следи целия трафик между компютъра на конкретния потребител и сървърите на дадена уеб-услуга. Услугите на Google обаче използват криптирания протокол https, поради което описаният начин на проникване не се отнася за тях. Плъгинът Firesheep за браузъра Mozilla Firefox, разработен от Eric Batler, демонстрира колко е лесно да бъдат откраднати потребителските логини и пароли при различните уеб-услуги в незащитената Wi-Fi-мрежа. Разширението си служи с метода „лов” на кукита (cookies) – служебни файлове в потребителския компютър, носещи информация за посещаването на определени уебсайтове. Firesheep реализира кражбата на чужд акаунт, при положение че не са криптирани нито http-протоколът, нито трафикът в безжичната мрежа Wi-Fi. Разработчикът обяснява в блога си, че веднага щом потребителят-жертва, ползващ същата Wi-Fi мрежа като хакера, влезе в незащитения уебсайт, в отделен прозорец на Firefox се показват неговото име и снимка. Двойното кликване върху името позволява да се влезе в сайта посредством логина и паролата на дадения потребител. Плъгинът се разпространява безплатно и е предназначен за операционните системи Mac OS X и Windows; в момента се разработва и версия за Linux. Firesheep автоматично проследява файловете, които се създават при влизането на потребителя в личния му акаунт в сайтовете Amazon, Bit.ly, Cisco, Dropbox, Evernote, Facebook, Flickr, Windows Live, NY Times, Twitter, WordPress, Yahoo и др., като в настройките на плъгина могат да се добавят и други сайтове.

	Коментари
	Все още няма коментари