Når ok ikke er ok:Sikkerhedspræsentant taler om syntetiske klik

En omgåelse af advarsler i macOS High Sierra kom med nyheder i denne uge i sikkerhedsland. Tænk på linier som sikkerhedstjek, hvor brugeren bliver bedt om at bekræfte, at en app skal have tilladelse til at gøre ting som at få adgang til kontakter eller placeringsdata, som nævnt i 9to5Mac .

Omfartsvejen blev vist af Patrick Wardle, Digita Securitys forskningschef. Hans forskning i usynlige klik ("syntetiske" klik) har vakt interesse, og han var en af ​​oplægsholderne ved den nylige DefCon computersikkerhedskonference i Las Vegas. Syntetiske hændelser er, når angribere virtuelt kan "klikke" på objekter for at indlæse kode uden brugerens samtykke, sagde ZDNet .

Malcolm Owen ind AppleInsider nævnte softwarebaserede klik på grænsefladeobjekter var et problem, og at opdagelsen betød, at syntetiske klik kunne fungere under visse omstændigheder. Her, lad Andy Greenberg komme ind Kablet klargør, hvad problemet kan være over advarsler og Wardles bypass:

Operativsystemet giver brugerne et valg – enten tillade eller nægte et programs adgang til følsomme data eller funktioner. Den vej, OS opsætter et kontrolpunkt, i stand til at standse malware og samtidig slippe uskyldige apps igennem. Sammen kommer Patrick Wardle for at udforske:"Hvad nu hvis et stykke malware kan nå ud og klikke på den 'tillad'-knap lige så nemt som et menneske."

Mike Mimoso, Flammepunkt , kommenterede også Wardles forskning, hvor "en trusselsaktør med adgang til en kompromitteret computer kan interagere med brugergrænsefladen og kontrollere brugerens museklik - i det væsentlige et syntetisk klik - for at omgå sikkerhedsmeddelelser, der er tilgængelige for brugeren, giver adgang til nøgleringen, indlæse tredjeparts kerneudvidelser, eller godkend en udgående netværksforbindelse."

Vente, hvad er High Sierra? Dette refererer til macOS High Sierra-udgivelsen af ​​macOS, Apple Inc.s desktop-operativsystem til Macintosh-computere.

Hvor alvorlig er denne situation?

Paul Ducklin, Nøgen Sikkerhed sagde, "det er mere en tweak til et anti-sikkerhedstrick, som Wardle selv fandt og rapporterede sidste år end et helt nyt angreb."

Hvad kunne en angriber udrette? Ars Technica 's Dan Goodin sagde, "Med evnen til at generere syntetiske klik, et angreb, for eksempel, kunne afvise mange af Apples privatlivsrelaterede sikkerhedsspørgsmål."

Ben Lovejoy ind 9to5Mac sagde, at det er her "slyngel kode efterligner en bruger, der klikker på en knap for at give en tilladelse."

Malcom Owen ind AppleInsider gav en beretning om, hvad der skete, der førte til Wardles opdagelse. Det skete ved et uheld. Wardle opdagede det ved at lave en fejl, mens han kopierede og indsatte kode til syntetiske museklik, da han glemte at ændre en flagværdi for en up-begivenhed. Efter kompilering af koden, han opdagede, at det tillod det syntetiske klik at fungere.

Nøgen Sikkerhed kommenterede dette som en "kopier-og-indsæt programmeringsfejl" og sagde, at det ikke burde have virket, alligevel omgået Apples sikkerhedstjek. "Dette er en skarp påmindelse om, at hackere og cyberskurke kan få succes gennem stædig beslutsomhed og en snert af held, simpelthen ved at prøve ting, ingen andre havde tænkt på før, eller ting, som alle andre antog ville mislykkes."

© 2018 Tech Xplore