Apple устраняет уязвимость в приложении «Пароли», позволяющую атаки через Wi-Fi

Введение: безопасность под сомнением

Apple всегда позиционировала свои продукты как олицетворение конфиденциальности и безопасности, как это видно из их рекламных кампаний «Конфиденциальность. Это iPhone». Однако недавние инциденты с безопасностью на устройствах Apple ставят под сомнение эту репутацию. Одним из таких инцидентов стала уязвимость в встроенном приложении для управления паролями.

Уязвимость в приложении «Пароли»

Безопасность, которой можно доверять?

Исследователи безопасности из Mysk обнаружили, что приложение «Пароли», представленное с iOS 18 в сентябре 2024 года, имело серьезную уязвимость, оставлявшую пользователей уязвимыми к фишинговым атакам на протяжении почти трех месяцев. Приложение использовало незащищенные HTTP-соединения вместо более безопасных HTTPS для загрузки логотипов и иконок, отображаемых рядом соStored passwords. Это позволило злоумышленникам на той же сети, например, в кафе или аэропорту, перехватывать эти запросы и потенциально перенаправлять пользователей на фишинговые сайты для кражи учетных данных.

Как это работало?

Если пользователь открывал приложение «Пароли» и нажимал на ссылку, такую как «Сменить пароль», находясь в небезопасной сети, злоумышленник мог перехватить этот запрос и перенаправить его на поддельный сайт, имитирующий легитимный, например, на фальшивую страницу входа в Yelp. Поскольку приложение не обеспечивало обязательное использование HTTPS, пользователи могли не заметить смены, что ставило их конфиденциальные данные под угрозу.

Исправление уязвимости

Как Apple отреагировала?

После того как исследователи безопасности из Mysk сообщили об уязвимости в сентябре 2024 года, Apple исправила проблему в обновлении iOS 18.2, выпущенном в декабре. Это обновление обеспечило обязательное использование HTTPS для всех сетевых коммуникаций внутри приложения «Пароли», что значительно усложнило возможность перехвата или перенаправления трафика злоумышленниками.

Что делать, если вы использовали приложение?

Если вы используете iPhone или iPad с приложением «Пароли», обязательно обновите устройство до iOS 18.2 или более поздней версии. Если вы не обновили свое устройство и использовали приложение на публичном Wi-Fi в период с сентября по декабрь 2024 года, рекомендуется изменить пароли для любых учетных записей, к которым вы получили доступ в это время.

Советы по защите вашего устройства

Как защитить свои учетные записи?

Недавний инцидент с приложением «Пароли» подчеркивает важность принятия мер для защиты вашей цифровой идентичности. Вот несколько способов, как вы можете оставаться в безопасности от злоумышленников:

1. **Используйте надежный менеджер паролей**: Хотя приложения Apple обычно более безопасны, чем сторонние варианты, уязвимость в «Паролях» показывает, что стоит рассмотреть альтернативные надежные менеджеры паролей.

2. **Включите двухфакторную аутентификацию (2FA)**: Добавление дополнительного уровня безопасности с помощью 2FA может предотвратить доступ к вашим учетным записям, даже если злоумышленник украдет ваш пароль.

3. **Избегайте публичного Wi-Fi для конфиденциальной деятельности**: Если вы все же используете публичный Wi-Fi, обязательно используйте VPN для шифрования вашего интернет-трафика.

4. **Будьте осторожны с фишинговыми атаками**: Проверяйте URL перед вводом учетных данных и избегайте подозрительных ссылок в электронных письмах и сообщениях.

5. **Держите свои устройства обновленными**: Регулярно обновляйте устройства и программное обеспечение, чтобы иметь последние патчи безопасности.

6. **Регулярно проверяйте свои учетные записи**: Следите за своими учетными записями на предмет подозрительной активности и сообщайте о любых необычных действиях.

Заключение: важность безопасности

Три месяца — это слишком долго для того, чтобы уязвимость в менеджере паролей оставалась незамеченной, особенно от компании, которая позиционирует себя как лидер в области конфиденциальности и безопасности. Этот инцидент подчеркивает, что меры безопасности Apple не являются непроницаемыми, и даже встроенные системные приложения могут подвергать пользователей серьезным рискам. Если Apple хочет сохранить свой имидж компании, ориентированной на конфиденциальность, ей необходимо более тщательно тестировать безопасность своих продуктов до их выпуска.

Как вы считаете, делает ли Apple достаточно для защиты своих пользователей от новых киберугроз? Поделитесь своим мнением.