Re: [新聞] 隨便就按是?!你的iPhone成駭客「禁臠」

作者: ReDmango (愛戰暱稱的哪個白癡)   2018-04-22 12:32:29
這就是最近很紅的trustjacking
簡單來說
當使用者接上一條線
螢幕跳出是否信任
按了之後 就算一秒鐘後拔掉線
依然也可以透過itunes wifi sync功能上傳
可以傳輸所有的資料
也可以同步投影裝置畫面
他有兩個必要性
一、使用者必須要按信任
二、使用者必須跟有心人同網域
這兩點也是賽門鐵克反應給蘋果後
蘋果沒有甚麼反應的原因
因為蘋果認為 使用者自己按下信任
那就代表他把全部授權給這台電腦
但是問題在
一、現在已經有多種誤導使用者按下信任的方法:最簡單的是在文中說明要按信任才可以充電。
二、只要取得授權後,有心人可以植入vpn設定,最後在任何網域都可以視為跟有心人同網域。
而且這個攻擊方式真的有夠簡單
python碼隨便都搜尋的到
隨便一個script kid都能夠使用
※ 引述《olmtw (支持htc,支持台灣貨)》之銘言:
: 隨便就按是?!你的iPhone成駭客「禁臠」
: 2018/04/22 09:00:00
: 科技中心/綜合報導
: 雖然現在已經很少人把手機連到電腦上了,但是還是不得不提醒你,
: 將iPhone通過iTunes連接到電腦上其實是一件非常危險的事情,駭客
: 們能夠透過一個簡單的授權輕易控制你的手機。
: 據快科技報導,Symantec公司發布一則報告,在演示中稱,「當我們
: 把手機連接到電腦的iTunes時,iPhone會詢問是否信任這台電腦,平
: 時大家都會點擊是,這看起來並不是什麼大不了的事情。 但實際上
: 它可以讓駭客竊聽你的iPhone,甚至以木馬的形式在你的iPhone上運
: 行惡意軟件」。
: 報導指出,這一切都是因為你點擊了「是」,在這台電腦被信任之後
: ,它就擁有了訪問你iPhone上所有數據和設置的權限,然後駭客就能
: 透過電腦控制你的iPhone。
: 或許你會說,讓iPhone和電腦斷開連接不就行了? 太天真了,即使
: 你已經把iPhone從數據線上拔下了,駭客仍能夠透過WiFi讓你的
: iPhone和這台電腦保持連接,然後通過這台電腦持續操控你的iPhone
: 。
: 報導也說,因為一般而言,用戶的手機和電腦都是處於同一個WiFi中
: 的,駭客們利用這一點,就能夠通過iTunes持續訪問iPhone。簡單來
: 說,駭客會先控制你的電腦,這對他們來說並不困難,而如果你選擇
: 了信任這台電腦,也就等同於信任了網線另一端的駭客。
: Symantec研究員Roy Iarchy表示, iPhone用戶杜絕這一情況的唯一
: 方式就是在連接每台電腦時都選擇不信任 。現在該公司已經向蘋果
: 提交了這一問題,蘋果可能會在未來電腦和手機連接的過程中增加一
: 個步驟,例如說輸入密碼來保證iPhone和電腦的連接是受信任的。
: http://www.setn.com/News.aspx?NewsID=370972
: 按這種按鍵的時候真的要小心捏,不信任的電腦千萬不要按認識
: 否則因小失大可就不好啦,畢竟現在手機上應該難免有不少個人隱私
: 將其免費送給別人不是一件太好的事情吧?

Links booklink

Contact Us: admin [ a t ] ucptt.com