Naszym smartfonom powierzamy coraz więcej bardzo ważnych, prywatnych danych. Producenci tego typu urządzeń zdają się jednak nie przywiązywać dużej wagi do bezpieczeństwa systemów operacyjnych oraz aplikacji pracujących w tego typu urządzeniach. W trakcie tegorocznego konkursu Pwn2Own, włamanie do urządzenia Apple iPhone 3Gs zajęło Vincenzo Iozzo tylko chwilę. Wczoraj natomiast grupa Intrepidus zademostrowała kilka niezwykle prostych ataków pozwalających na zhakowanie systemu Palm WebOS pracującego w smartfonie Palm Pre.
Palm WebOS to systemem operacyjny opartym na Linuksie i działający w koncepcji przeglądarki uruchamiającej programy stworzone za pomocą technologii HTML oraz JavaScript. Zaletą takiego podejścia miało być to, że deweloperzy oprogramowania nie musieli uczyć się nowych języka programowania, okazało się jednak, że taka architektura systemu sprawia, że jest on szczególnie podatny na szereg groźnych ataków.
Grupa Intrepidus odkryła oraz w sposób odpowiedzialny (responsible disclosure) ujawniła szereg luk obecnych w systemie Palm WebOS. Okazało się, że wbudowany w WebOS klient wiadomości SMS nie był w żaden sposób zabezpieczony przed atakami typu HTML injection. W związku z tym, przesłanie odpowiednio spreparowanych wiadomości SMS pozwala na wykonanie następujących ataków:
- uruchomienie dowolnej strony internetowej,
- rozpoczęcie pobierania dowolnego pliku,
- uruchomienie dowolnego strumienia video z Internetu,
- rozpoczęcie instalacji nowego certyfikatu głównego (root CA certificate) w systemie,
- rozpoczęcie procedury kasowania wszystkich danych zgromadzonych w urządzeniu.
Producent został poinformowany o odkrytych lukach przed opublikowaniem powyższych informacji, wobec czego dostępna jest już wersja systemu WebOS zamykająca powyższe podatności.
Jak widać, potencjalne ataki są bardzo groźne. Jak to jednak możliwe, że doświadczeni programiści nie zabezpieczyli swych aplikacji przed znanymi przecież od lata atakami typu HTML injection? Okazuje się, że problemy z bezpieczeństwem nowych smartfonów są prawdopodobnie wynikiem… pośpiechu! Na tym szczególnie konkurencyjnym rynku, producenci wprowadzają nowe modele swych wielofunkcyjnych telefonów pod ogromną presją czasu. Niestety, nieuchronnie wynikający z tego duży pośpiech programistów skutkuje publikowaniem niezwykle dziurawych aplikacji.
Skąd ja to znam? Aplikacje webowe w których podstawą jest zajefajny wygląd/funkcjonalność i za*** krótki termin na czas realizacji i do tego koszta (opłacalność) a potem pretensje 👿 że coś nie działa, ktoś się włamał etc.
Warto przypomniec, ze Apple tam, gdzie teraz jest Palm – w sensie, w aplikacjach w formie "widgetow", napisanych przy uzyciu JavaScriptu i roznych takich – bylo ladnych kilka lat temu. I nie bez powodow obecnie wiekszosc aplikacji na iPhone'a jest napisana w ObjectiveC i skompilowana do natywnego kodu maszynowego.
Mysle, ze to raczej ze wzgledu na wydajnosc i bakterie a nie
bezpieczenstwo jako takie. Raz, iPhone ma dosyc slaby procesor
(cos kolo 500MHz AFAIR), dwa intepretacja kodu czy nawet JIT
zawsze wciaga kupe dodatkowych cykli zegara (wbrew propagandzie
tworcow Androida), czyli szamie wiecej bakterii.
Obecnie sprzedawany iPhone 3GS (zresztą tak jak Droid czy N900) ma bardzo przyzwoite zaplecze sprzętowe.
ARM cores @wikipedia
i baterie, ktora musze ladowac codziennie :/
Oczywiście, bo w końcu stosowanie jednego języka programowania zamiast innego w magiczny sposób oczyszcza umysł programisty, który dzięki temu nie popełnia błędów.
Nie, ale jednak przepelnic stos w Javie jest „deczko” ciezej
niz w C, nawet jak ten kod jest napisany przez debila.
@jarek: a co to ma do wypowiedzi Otaq w kontekście wypowiedzi trasza?
Porownanie zupelnie nietrafione…od poczatku taka byla koncepcja tworcow tego systemu – aby proste aplikacje byly widgetami (sugeruje to sama nazwa systemu). WebOS jak najbardziej umozliwa dzisiaj uruchamianie natywnych aplikacji dzieki PDK, jezeli jest to potrzebne (np w grach). Uwierz lub nie – sprawdza sie to super.
@JANWAR: W przypadku iPhone'a tez od poczatku taka byla koncepcja. Nie dzialalo zbyt dobrze, podobnie jak w przypadku Palma – nie bez powodu jednym z glownych zarzutow przeciwko WebOS-owi jest ociezalosc.
Mam pytanie, zupelnie niezwiazane z tematem: czy iPhone
ma "loudspeaker" i w miare czuly mikrofon? Chodzi mi o to,
czy mozna go przelaczyc na tryb glosnomowiacy i polozyc
na stole w trakcie rozmowy?
Zapytany Wujek Google o "iphone głośnomówiący" powiedział, że iPhone ma tą funkcję (pierwszy wyświetlony link…).
Choć osobiście jestem zdziwiony, bo w końcu "kto tego w ogóle używa?" 😉
Wez mi jeszcze wygooglaj jak jest z czuloscia mikrofonu przy takim rozmawianiu?
Ależ służę uprzejmie. Tak jak poprzednio pierwszy wyświetlony link:
http://www.myapple.pl/iphone-rozmowy-ogolne/72803…
wuja_jurek:
quest:
Jeśli chcesz więcej informacji np. jak Tobie będzie się rozmawiało w ten sposób to niestety Wujek Google nie pomoże 🙁 Będziesz musiał się osobiście wybrać do jakiegoś iSpotu lub sklepu z telefonami i zapytać sprzedawcę czy pozwoli Ci zadzwonić z iPhona żeby sprawdzić jakość dźwięku.
Jakby byl przycisk "like it" to bym nacisnal, a tak masz tylko plusa.
@jarek: Tak. Nie ma problemu z przelaczeniem na glosnomowiacy i odlozeniem telefonu na biurko.
Oczywiście, że ma. Używam tego w swoim iPhone3G bardzo często i problemów nie stwierdziłem.
> Zaletą takiego podejścia miało być to, że deweloperzy oprogramowania
> nie musieli uczyć się nowych języka programowania
A co mnie obchodzi wygoda/lenistwo tzw. "deweloperów" (czyżby przedsiębiorcy budowlani… 😉 )? Ja jestem klientem; chcą na mnie zarobić – niech się uczą. Nie chcą się uczyć? To nie zarobią… proste?