esetnod32 Nov 15 2014 at 00:43

Apple прокомментировала ситуацию с уязвимостью Masque в iOS

2 min

24K

ESET NOD32 corporate blogInformation Security*

+14

Comments 40

Shultc Nov 15 2014 at 01:25

Если уязвимостью считается то, что пользователь может установить себе вредоносную программу, самостоятельно подтвердив её установку, и дав права… Похоже я нашёл ещё несколько платформ, на которых есть похожая уязвимость =)

+41

Ex3NDR Nov 15 2014 at 02:05

Во всех системах этого нет, тк там производится проверка подписи приложения.

-19

igofed Nov 15 2014 at 13:48

Приложение как раз подписано верно и сертификатом, который выдала сама Apple.

UFO just landed and posted this here

Shultc Nov 15 2014 at 04:10

Когда вирус устанавливается «в один клик» — это не вирус. Хороший, годный вирус устанавливается без всяких кликов =)

+25

Shultc Nov 15 2014 at 04:45

То есть, это я к чему. Представим себе такую воображаемую корпорацию, в которой отделу дали задание «Разработать вирус под iOS». Просто мысленный эксперимент. Я бы не месте руководства такой вирус не принял.

Guria Nov 15 2014 at 10:45

За остальные не скажу, но Андроид не позволяет ставить приложение с другой подписью поверх уже установленного. пользователю придётся удалить легитимное и поставить фейковое. данные приложения при этом не будут сохранены.
Правда были баги и в этой системе тоже.

Guria Nov 15 2014 at 11:09

у вас есть ios устройство? я как то видел установку приложения, подписанного enterprise сертификатом, на айфон с публичного сайта. клик по ссылке — установка приложения на спрингборд. я не помню наличие запроса для подтверждения.
проверьте, пожалуйста, на эмуляторе gameboy из ссылки ниже.

valfrom Nov 15 2014 at 14:30

Подтверждение спрашивает, эмулятор не устанавливается, видимо что-то сломано…

Guria Nov 15 2014 at 16:11

okay, подтверждение уже хорошо, значит память меня подвела. И по крайней мере тихой установки не произойдёт.

SerDIDG Nov 16 2014 at 01:20

По крайней мере с iOS 6 всегда спрашивало прежде чем ставить.

UFO just landed and posted this here

cleg Nov 15 2014 at 17:40

тот джейлбрейк использовал ошибку, которая была оперативно устранена
а безошибочных приложений, действительно не бывает

UFO just landed and posted this here

Guria Nov 15 2014 at 10:54

это только в случае обнаружении зловреда человеком, знающим что такое enterprise profile, и куда писать для его отзыва. при локальном распространении или даже таргетированных атаках высока вероятность оставаться не обнаруженным вплоть до достижения цели.

UFO just landed and posted this here

AndryX Nov 15 2014 at 16:38

Какими проверками, простите? Достаточно открыть любое предприятие в любой стране, мне для валидации даже не позвонили.

UFO just landed and posted this here

creker Nov 15 2014 at 19:33

Видимо, вам не повезло. Такой сертификат выдают на раз два. Достаточно предоставить все данные на юридическое лицо и по телефону сказать «ай нид сертификэт ту мэйк инхауз апликатионс». У нас это заняло недели две и большую часть времени просто ожидали, когда нам позвонят, и когда предоставят собственно сертификат после звонка.

UFO just landed and posted this here

drakmail Nov 15 2014 at 09:50

Эм, так вроде какой-то эмулятор gameboy у меня еще года полтора назад спокойно ставился в обход appstore.

А вот и он — www.gba4iosapp.com

UFO just landed and posted this here

entze Nov 16 2014 at 08:53

Эппл вроде уже отозвала. Точнее не отозвала, а сделала невалидным с определенной даты. Если перевести время назад — приложение с отозванным сертификатом можно установить.

Guria Nov 15 2014 at 10:32

тут дело не в самом факте установки, а в сохранении данных ранее установленного легитимного.

Biga Nov 15 2014 at 11:29

Кто-нибудь знает, как сделать приложение с чужим bundle id? Это ведь надо создать такое приложение в своём аккаунте (на developer.apple.com), а Apple там не даёт добавлять bundle id, который уже существует.

Biga Nov 15 2014 at 11:39

Разве что с wildcard provisioning profile попробовать.

Guria Nov 15 2014 at 13:34

так тут речь об установке не из apple store.

visput Nov 15 2014 at 19:09

неважно откуда устанавливается приложение, bundle id для него создается на developer.apple.com. А там Вам не позволят использовать уже существующий bundle id.
Как написали выше, возможен вариант с использованием wildcard bundle id, но я не уверен, что приложение с wildcard bundle id (например, ru.habrahabr.*) перезапишет приложение с explicit bundle id (например, ru.habrahabr.habr). Думается мне, что они станут раздельно.

visput Nov 15 2014 at 19:54

А нет, все-таки работает вариант с wildcard bundle id, ниже описал шаги для воспроизведения.

valfrom Nov 15 2014 at 14:48

Я пробовал подобное на 5-й оси, кажется, и такое не проходило (новое приложение просто затирало данные старого). Правда у меня был не энтерпрайз сертификат.

Awake Nov 15 2014 at 16:14

Ну такие приложения не первый день существуют.

visput Nov 15 2014 at 19:51

Работает эта тема, только что проверил на своем приложении из AppStore:
В приложении из аппстора стоит bundle id com.becoast.gcar. На developer.apple.com в enterprise аккаунте создал wildcard bundle id: com.becoast.* (com.becoast.gcar — не позволяет создать, так как уже используется). Далее создал соответствующий provision профиль. В тестовом приложении указал bundle id: com.becoast.gcar и подписал его с provision для com.becoast.*. Залил на девайс, в результате приложение из аппстора перезаписано тестовым.

valfrom Nov 16 2014 at 00:39

Не, так не интересно, оба приложения подписаны с помощью одного аккаунта

valfrom Nov 16 2014 at 00:45

Упс, проверил на Adobe Reader, приложение спокойно получает доступ к чему не должно, IOS8

visput Nov 16 2014 at 01:12

Я использовал два акааунта, один enterprise для подписи тестового приложения, второй аккаунт девелопера, которым подписывались приложение из app store, они никак между собой не связаны

valfrom Nov 16 2014 at 02:00

Был не прав, не нужен даже энтерпрайз аккаунт, проверил на Adobe Reader

visput Nov 16 2014 at 05:03

Для полной степени уязвимости все-таки понадобится enterprise, иначе не получится распространять «вирус».

UFO just landed and posted this here

visput Nov 18 2014 at 06:20

Моя первая мысль была такая же. Не вижу случаев, где такое решение могло бы стать узким или неудобным местом.

silvansky Nov 17 2014 at 11:50

Опять же, пользователю сначала надо подтвердить, что он доверяет фирме, на которую выдан enterprize сертификат. Для этого выскакивает весьма заметный диалог. Конечно, последующие установки от этого разработчика пойдут без подтверждения, но первый раз подтвердить всё же придётся.