Pelayar Diperebutkan Sebelum Telefon di Perlihat Keselamatan

Peranti mudah alih menjadi tumpuan pada persidangan keselamatan CanSecWest pada hari Rabu, tetapi ia adalah pepijat pelayar yang mendapat perhatian sepenuhnya pada pertandingan penggodam yang popular.

Penganjur persidangan telah menjemput hadirin untuk memaparkan serangan yang menargetkan kelemahan yang tidak diketahui sebelum ini dalam pelayar atau peranti mudah alih dalam pertandingan Pwn2Own tahunan pameran itu. Menjelang akhir hari pertama, Internet Explorer, Safari dan Firefox semuanya telah digodam, tetapi tiada siapa yang mengambil retak di lima peranti mudah alih untuk dimenangi, walaupun penaja pertandingan, TippingPoint, membayar $ 10,000 setiap bug mudah alih, dua kali apa yang ia bayar untuk kelemahan penyemak imbas.

Untuk serangan untuk menghitung, penggodam terpaksa menggunakan pepijat untuk mendapatkan kod untuk dijalankan pada mesin. Pepijat yang ditemui melalui peraduan itu akan diselaraskan oleh TippingPoint, dan kemudian diserahkan kepada vendor perisian yang berkaitan untuk ditambal.

[Bacaan lanjut: Telefon Android terbaik untuk setiap belanjawan.]

Pelayar pertama yang pergi adalah pelayar Safari Apple yang berjalan pada Macintosh. Pemenang pertandingan tahun lalu, Charlie Miller dengan cepat merogol ke Mac menggunakan bug yang dia dapati semasa bersiap untuk acara tahun lepas. Walaupun penggodam Apple Miller telah memberikan perhatian kepadanya, Safari adalah sasaran mudah, katanya dalam temu bual sejurus selepas hacknya. "Terdapat banyak bug di sana."

Internet Explorer Microsoft tidak lebih baik. Seorang lagi penggodam, yang mengenal pasti dirinya sebagai penganjur hanya sebagai Nils, telah lama menggodam Internet Explorer 8. Nils kemudian memikat penggodam di dalam bilik dengan melepaskan eksploitasi untuk Safari dan Firefox juga.

Miller berkata dia tidak terkejut melihat telefon bimbit tanpa serangan. Untuk satu perkara, peraturan yang mengawal serangan telefon bimbit adalah ketat, yang memerlukan kerja mengeksploitasi dengan hampir tiada interaksi pengguna.

Namun, Miller mengatakan bahawa melanggar ke dalam peranti mudah alih seperti iPhone adalah "lebih keras" daripada peretasan PC. Walaupun penyelidik keselamatan seperti Miller mungkin berminat dengan telefon pintar sekarang, setakat ini belum banyak penyelidikan dan dokumentasi cara menyerang platform mudah alih.

Tetapi itu mungkin berubah, menurut Ivan Arce, ketua pegawai teknologi dengan Core Security Technologies.

Sementara pertandingan Pwn2Own sedang berlangsung, penyelidik dari syarikat Arce bercakap di bilik persidangan lain, menunjukkan program yang mereka tulis yang boleh digunakan oleh penyerang apabila mereka telah berjaya menggodam telefon bimbit. Perkara yang menarik mengenai perisian shellcode Core ialah ia boleh berjalan di kedua-dua Apple iPhone dan Google Android, menunjukkan bahawa penjenayah secara teorinya boleh menulis satu kod yang akan berjalan di kedua-dua platform.

Dalam beberapa bulan kebelakangan ini, penyelidikan ke peranti mudah alih telah Dijangka meningkat dan baru-baru ini mencapai titik "tip", di mana serangan yang lebih berjaya dijangka muncul, kata Arce.

Terdapat beberapa faktor yang membuat sasaran menarik telefon, kata Arce. Untuk satu perkara, mereka membuka dan boleh menjalankan lebih banyak perisian pihak ketiga. Secara tradisinya syarikat telefon telah menguasai aplikasi yang dikendalikan oleh rangkaian mereka - pada suatu masa AT & T pada mulanya berpendapat bahawa telefon pihak ketiga akan memecah rangkaiannya. Hari ini, semua yang diperlukan adalah US $ 25 dan alamat Gmail untuk membangunkan aplikasi untuk Android.

Dalam ceramah keselamatan mudah alih yang dibuka hari ini, pelajar siswazah University of Michigan, Jon Oberheide menunjukkan bagaimana pengguna Android dapat ditipu untuk memasang aplikasi berniat jahat oleh penyerang yang menggunakan apa yang dikenali sebagai serangan menengah.

Telefon lebih berkuasa, lebih banyak diterima pakai, dan lebih murah daripada PC, dan mereka sering menyimpan data penting, memberikan insentif kewangan kepada penggodam mereka, Kata Arce.