Peretasan iPhone Siluman yang Masih Tidak Dapat Dihentikan Apple


Ini mengejutkan wahyu: Pemerintah Bahrain diduga membeli dan menyebarkan malware canggih terhadap aktivis hak asasi manusia, termasuk spyware yang tidak memerlukan interaksi dari korban—tidak ada tautan yang diklik, tidak ada izin yang diberikan—untuk menguasai iPhone mereka. Tetapi laporan minggu ini dari Citizen Lab Universitas Toronto mungkin mengganggu, itu juga semakin akrab.

Serangan “zero-click” ini dapat terjadi pada platform apa pun, tetapi serangkaian peretasan profil tinggi menunjukkan bahwa penyerang telah memanfaatkan kelemahan dalam layanan iMessage Apple untuk mengeksekusinya. Peneliti keamanan mengatakan upaya perusahaan untuk menyelesaikan masalah belum berhasil—dan ada langkah lain yang dapat diambil perusahaan untuk melindungi pengguna yang paling berisiko.

Serangan tanpa interaksi terhadap versi iOS saat ini masih sangat jarang, dan hampir secara eksklusif digunakan terhadap populasi kecil target profil tinggi di seluruh dunia. Dengan kata lain, rata-rata pemilik iPhone sangat kecil kemungkinannya untuk menemukannya. Namun insiden Bahrain menunjukkan bahwa upaya Apple untuk meredakan risiko iMessage bagi penggunanya yang paling rentan belum sepenuhnya berhasil. Pertanyaannya sekarang adalah seberapa jauh perusahaan bersedia untuk membuat platform pengiriman pesannya tidak terlalu bertanggung jawab.

“Sungguh frustasi untuk berpikir bahwa masih ada aplikasi yang tidak dapat dihapus ini di iOS yang dapat menerima data dan pesan dari siapa pun,” kata peneliti keamanan macOS dan iOS, Patrick Wardle. mengirimkannya dari mana saja di dunia kapan saja dan mengenai Anda.”

Apple memang membuat dorongan besar untuk secara komprehensif mengatasi iMessage zero-clicks di iOS 14. Yang paling menonjol dari fitur-fitur baru tersebut, BlastDoor, adalah semacam bangsal karantina untuk komunikasi iMessage masuk yang dimaksudkan untuk menyingkirkan komponen yang berpotensi berbahaya sebelum mereka mencapai titik penuh. lingkungan iOS. Tapi serangan tanpa interaksi terus datang. Temuan dan penelitian Citizen Lab minggu ini yang diterbitkan pada bulan Juli oleh Amnesty International keduanya secara khusus menunjukkan bahwa mungkin serangan tanpa klik untuk mengalahkan BlastDoor.

Apple belum mengeluarkan perbaikan untuk kerentanan khusus ini dan serangan terkait, yang dijuluki “Megalodon” oleh Amnesty International dan “ForcedEntry” oleh Citizen Lab. Seorang juru bicara Apple mengatakan kepada WIRED bahwa mereka bermaksud untuk memperkuat keamanan iMessage di luar BlastDoor, dan bahwa pertahanan baru akan datang dengan iOS 15, yang kemungkinan akan keluar bulan depan. Tetapi tidak jelas apa yang akan diperlukan oleh perlindungan lebih lanjut itu, dan sementara itu tampaknya tidak ada pertahanan terhadap peretasan yang mengalahkan BlastDoor yang diamati oleh Amnesty International dan Citizen Lab.

“Serangan seperti yang dijelaskan sangat canggih, menghabiskan jutaan dolar untuk dikembangkan, seringkali memiliki umur simpan yang pendek, dan digunakan untuk menargetkan individu tertentu,” kata kepala teknik dan arsitektur keamanan Apple, Ivan Krstić, dalam sebuah pernyataan. “Meskipun itu berarti mereka bukan ancaman bagi sebagian besar pengguna kami, kami terus bekerja tanpa lelah untuk membela semua pelanggan kami.”

Banyaknya fungsi dan fitur iMessage membuatnya sulit untuk dipertahankan, kata peneliti keamanan. “Permukaan serangan”-nya sangat besar. Di bawah tenda, dibutuhkan banyak kode dan jerry-rigging untuk mendapatkan semua gelembung hijau dan biru itu—ditambah foto, video, tautan, Memoji, integrasi aplikasi, dan banyak lagi—bekerja dengan lancar. Setiap fitur dan interkoneksi dengan bagian lain dari iOS menciptakan peluang baru bagi penyerang untuk menemukan kelemahan yang dapat dieksploitasi. Sejak munculnya iMessage zero-clicks beberapa tahun yang lalu, menjadi semakin jelas bahwa mengurangi kerentanan layanan secara komprehensif akan membutuhkan beberapa perancangan ulang yang epik—yang tampaknya tidak mungkin terjadi.

Namun, tanpa perombakan total, Apple masih memiliki opsi untuk menangani peretasan iMessage yang canggih. Perusahaan dapat menawarkan pengaturan khusus, saran peneliti, sehingga pengguna yang berisiko dapat memilih untuk mengunci aplikasi Pesan di perangkat mereka. Itu bisa termasuk opsi untuk memblokir konten yang tidak tepercaya seperti gambar dan tautan sekaligus, dan pengaturan untuk meminta pengguna sebelum menerima pesan dari orang yang belum ada di kontak mereka.

Diposting oleh : SGP Prize