Hlavní navigace

Apple iOS umožňuje podvrhnout SMS

Daniel Dočekal

Nikdy nevěřte SMS, říká pod2g v upozornění na bezpečnostní nedostatek v Apple iOS. Ten je, podle objevitele, v iOSu dostupný už od samého počátku a je  přítomen i v poslední betě iOS 6. V zásadě jde o možnost, vložit do SMS vlastní číslo „odpovědět  kam“. Což v implementaci SMS na iOS povede k tomu, že takového číslo se příjemci ukáže jako číslo odkud pochází SMS – takže příjemce SMS na iPhone si může myslet, že SMS pochází od někoho koho (například) zná.

Nikdy nevěřte SMS, říká pod2g v upozornění na bezpečnostní nedostatek v Apple iOS. Ten je, podle objevitele, v iOSu dostupný už od samého počátku a je  přítomen i v poslední betě iOS 6. V zásadě jde o možnost, vložit do SMS vlastní číslo „odpovědět  kam“. Což v implementaci SMS na iOS povede k tomu, že takového číslo se příjemci ukáže jako číslo odkud pochází SMS – takže příjemce SMS na iPhone si může myslet, že SMS pochází od někoho koho (například) zná.

V praxi zneužitelné pro něco takového, jako nedávná akce Ztohoven známá pod názvem „Morální Reforma“. Další možnosti zneužití mohou být v podobě falšování „bankovních“ SMS, nebo prostému sociálnímu inženýrství v podobě podvrhu SMS s (například) odkazem někam na web či dotazem, která se tváří jako kdyby pocházela od někoho, koho příjemce zná. A bude mu tím pádem důvěřovat.

Problém v Apple iOS není ani tak v tom, že je možné do „Odpovědět kam“ napsat libovolný vlastní text, to je vlastnost protokolu pro zasílání SMS. A téhož lze dosáhnout s použitím aplikaci pro mobilní telefony i řady SMS bran či programů na posílání SMS. Problém na straně iOSu je ve způsobu zobrazení došlé SMS.

Našli jste v článku chybu?

20. 8. 2012 20:38

Aha, takže jde jen o to, že informace o odesílateli z SMS se zobrzuje podobně, jak jméno vyhledané v adresáři, takže v případě přehlédnutí se dá podvžený odesílatel snadno zaměnit s legitimním?

20. 8. 2012 13:25

misch (neregistrovaný)

Ten článek nepopisuje zfalšování skutečného čísla odesilatele (tzn. toho které uvnitř SMSky neovlivníte, pokud nemáte přístup k nějaké SMS bráně napojené přímo na operátora a pokud vám to operátor dovolí dostatečně dlouhou dobu provádět), ale úpravu obsahu SMSky tak, aby _zařízení která to podporují_, zobrazila jinou informaci o odesilateli.

Přirovnal bych to třeba k situaci, kdy nejsem schopen snadno zfalšovat obsah X509 certifikátu a nechat si ho podepsat důvěryhodnou CA, ale zneužil bych chy…

DigiZone.cz: V Plzni odstartovalo Radio 1

V Plzni odstartovalo Radio 1

DigiZone.cz: Sat novinky: slovenská TV8 HD i ruský NTV Mir

Sat novinky: slovenská TV8 HD i ruský NTV Mir

Vitalia.cz: Jak si užít Vánoce bez lepku

Jak si užít Vánoce bez lepku

DigiZone.cz: Skylink: zpožděný kanál Prima +1

Skylink: zpožděný kanál Prima +1

Lupa.cz: Kolik ČR platí za sledování elektronické komunikace?

Kolik ČR platí za sledování elektronické komunikace?

Podnikatel.cz: Vládu obejde, kvůli EET rovnou do sněmovny

Vládu obejde, kvůli EET rovnou do sněmovny

Podnikatel.cz: 3, 2, 1..EET startuje. Na co nezapomenout?

3, 2, 1..EET startuje. Na co nezapomenout?

120na80.cz: Stoná vaše dítě často? Upravte mu jídelníček

Stoná vaše dítě často? Upravte mu jídelníček

120na80.cz: 5 nejčastějších mýtů o kondomech

5 nejčastějších mýtů o kondomech

DigiZone.cz: Česká televize mění schéma ČT :D

Česká televize mění schéma ČT :D

120na80.cz: Pánové, pečujte o svoje přirození a prostatu

Pánové, pečujte o svoje přirození a prostatu

Měšec.cz: Stavební spoření: alternativa i pro seniory

Stavební spoření: alternativa i pro seniory

Měšec.cz: Vklad na cizí účet je draze zpoplatněn (přehled)

Vklad na cizí účet je draze zpoplatněn (přehled)

Root.cz: Nová třída SD karet A1 s vysokým výkonem

Nová třída SD karet A1 s vysokým výkonem

120na80.cz: Co všechno ovlivňuje ženskou plodnost?

Co všechno ovlivňuje ženskou plodnost?

Vitalia.cz: To nejhorší při horečce u dětí: Febrilní křeče

To nejhorší při horečce u dětí: Febrilní křeče

Měšec.cz: Zdravotní a sociální pojištění 2017: Připlatíte

Zdravotní a sociální pojištění 2017: Připlatíte

DigiZone.cz: Je tu první sportovní přenos přes mobily

Je tu první sportovní přenos přes mobily

Podnikatel.cz: Chaos u EET pokračuje. Jsou tu další návrhy

Chaos u EET pokračuje. Jsou tu další návrhy

Vitalia.cz: Mondelez stahuje rizikovou čokoládu Milka

Mondelez stahuje rizikovou čokoládu Milka