iPhone se da contra otro bache de seguridad
Traducido para Segu-Info por Raúl Batista.
La lucha de Apple que lleva con pobres elecciones de diseño en cuanto a seguridad se han extendido al iPhone. Según el investigador de seguridad Aviv Raff, el dispositivo móvil favorito de todos es vulnerable a dos debilidades de seguridad que exponen a millones de usuarios a ataques de phishing y spam.
[ VEA: Apple no ha aprendido de anteriores errores en seguridad ]
Raff, un buscador de fallas que reporta regularmente fallas en los modernos navegadores Web, descubrió que es fácil enmascarar un vínculo a una página web maliciosa de phishing por la forma en que la aplicación de correo del iPhone maneja la visualización de vínculos.
Cuando el mensaje de correo está en formato HTML, el texto del vínculo puede fijarse apuntando a una URL diferente del vínculo actual. En la mayoría de los clientes de correo (en su PC / Mac), uno puede posar el cursor sobre el vínculo y una nota emergente le muestra el URL real a la cual uno le esta por hacer clic.
En iPhone es un poco distinto. Se necesita hacer clic en el vínculo por unos segundos para poder obtener esa nota emergente. Ahora, debido a que la pantalla del iPhone es pequeña, los URL largos se cortan a la mitad. Así que en lugar de “hxxp://www.somedomain.com/verylongpath/verylongfilename”, uno obtiene una nota emergente con algo como “www.somedomain.com/very…ilename”.
[ VEA: Apple emparcha 10 agujeros de seguridad en iPhone ]
El problema aquí, explica Raff, es que un atacante puede establecer un subdominio largo (~24 caracteres) que, cuando se corte en el medio, se verá como un dominio confiable.
La falla de spamming, descripta por Raff como “una falla de diseño bastante tonta," permite la recolección "en vivo" de direcciones de correo electrónico mediante el sencillo envío de imágenes "arregladas" que apuntan a verificar las direcciones de correo electrónico en los iPhones.
Cuando quiera que vea un mensaje de correo con formato HTML que contengan imágenes, se hace un requerimiento a un servidor remoto para obtener la imagen. La mayoría de los clientes de correo actuales requieren que uno apruebe la descarga de las imágenes. Esto se hace por una buena razón.
Si las imágenes se descargaran automáticamente, el spammer que controla el servidor remoto sabría que uno leyó el mensaje, y marcaría nuestra dirección como una cuanta activa, para poder mandar más spam. Esta "característica" se conoce como “falla Web”
La aplicación de correo del iPhone descarga todas las imágenes automáticamente, y ¡NO HAY FORMA de desactivar esta característica!
[ VEA: Apple atrapado descuidado la seguridad del iPhone ]
Raff dijo que dio detalles de estos problemas a Apple hace más de dos meses.
Le pregunte varias veces por la fecha del arreglo, pero se rehusaron a dármela. Se liberaron tres versiones (v2.0.1, v2.02, v2.1) desde que les dí los detalles, y ellos aun están “trabajando en eso”. En consecuencia, decidí dar a publicidad los detalles técnicos.
Separadamente, thay un agujero de privacidad de SMS sin emparchar cuando se pone al iPhone en modo de llamada de emergencia.
Apple es notoriamente lento para arreglar las fallas del iPhone así que si ud. está nervioso por estos riesgos, deberá ser muy cuidadoso usando el correo en este aparato.
Autor: Ryan Naraine
Fuente:
0 Comments:
Publicar un comentario
Gracias por dejar un comentario en Segu-Info.
Gracias por comentar!