Alle iPhones produceret siden 2011 kan give adgang til følsomme data og brugerens adgangskoder.
Det skriver flere medier, efter at sikkerhedsfirmaet Check Point har afsløret en sikkerhedsbrist, som Apple har kendt til i fire år, men ikke har gjort noget ved. Som Forbes-skribenten Gordon Kelly beskriver det, så har Apple ”sløset” med sikkerheden.
Den sikkerhedsbrist, som Check Point har fundet, giver mulighed for at hacke iPhones og iPads med iOS-versioner fra iOS 8 op til de nyeste betaversioner af iOS 13 ombord. Det er med andre ord alle iPhones fra de sidste otte år, der kan være ramt, eftersom iOS 8 understøtter devices helt tilbage til iPhone 4S fra 2011.
Check Point forklarer i en rapport om sikkerhedsbristen, at Apple har vidst besked om sikkerhedshullet i fire år, men har undladt at lukke det. Rapporten blev præsenteret på DEF CON-hackerkonferencen, der finder sted i denne weekend i Las Vegas, og er blevet set igennem af Apple Insider.
Der er naturligvis ingen, der ved præcist, hvorfor Apple ikke har dedikeret ressourcer til at fikse problemet, men Check Point har et godt bud. De mener, at Apple har bagatelliseret problemet og ikke taget det alvorligt. Det er det, der får Gordon Kelly til at skrive, at Apple har sløset med sikkerheden.
Adgang via Kontakter-appen
Apple har angiveligt ment, at det krævede så specifik en situation at udnytte sikkerhedshullet, at sandsynligheden for at det sker, er meget lille. Som bekendt er den slags sandsynligheder dog kun små indtil nogen finder en ny måde at udnytte et sikkerhedshul på, og det er netop, hvad Check Point er lykkedes med. Eller rettere, de har fundet en ny måde at udnytte et gammelt hacker-trick på.
Det handler om den såkaldte SQL Insert-metode, hvor hackere på en eller anden måde får placeret noget SQL-kode i en database på den ramte enhed, og får skabt adgang ad den vej. I dette tilfælde er der tale om SQLite-databasen, der ikke bare er at finde på iOS, men også macOS, Android, Windows og en række andre platforme.
Hullet kan i princippet udnyttes på alle disse platforme, men iOS anses generelt for at have et ret stærkt forsvar overfor indsættelse af SQL-kode, fordi det ikke er muligt (i hvert fald på ikke-jailbreakede iPhones) at installere apps fra ukendte eller uverificerede kilder. Det kan være grunden til at Apple ikke har gjort noget ved sagen.
Alligevel har Check Point lykkedes med at aktivere deres egen SQL-kode via en app, der i den grad er godkendt, verificeret og findes på alle iOS-enheder: Kontakter. Apples egen app til administration af ens kontakter kan altså udnyttes til at indsætte SQL-kode andre steder på telefonen, og dermed give adgang til hackere.
Apple har i skrivende stund ikke kommenteret på sagen, men har også nok PR-problemer at slås med i disse dage. Ud over Check Point-afsløringen er Apples Face ID også netop blevet hacket i forbindelse med Black Hat-hackerkonferencen i Las Vegas tidligere på ugen, og firmaet er blevet forvist til fjerdepladsen på listen over smartphone-producenter, efter Oppo har overhalet dem.
