Fiquemos atentos: desenvolvedor demonstra forma fácil de se obter a senha do seu ID Apple no iOS


Caneta Para notificar nossos editores de um erro no post, selecione o texto e pressione Ctrl + Enter.
Por
10/10/2017 às 21:32

Não sei se este é um comportamento generalizado, mas comigo já aconteceu inúmeras vezes: estou tranquilamente fazendo algo no iPhone ou iPad quando um alerta da iTunes/App Store surge do nada pedindo que eu digite a minha senha. Eu, como bom samaritano que sempre acredita no melhor das pessoas e dos dispositivos eletrônicos, assumo que o serviço precisa da autenticação para baixar alguma atualização ou coisa do tipo, digito o código alegremente e sigo o meu trabalho.

Bom, se esse artigo do desenvolvedor Felix Krause serviu de algo na face da Terra foi para me lembrar que nem só de boas vontades são formadas um iTreco. O profissional mostrou que programadores maliciosos podem, com alguma facilidade, recriar a janela de alerta da iTunes/App Store que pede a senha dos usuários e obtê-la de mão beijada, sem grandes questionamentos, dos menos atentos.

Por óbvias questões morais, Krause não dá o caminho das pedras no seu post para ajudar potenciais malfeitores a realizar a ação — apenas apresenta a prova de conceito a qual evidencia que, sim, o elemento pode ser facilmente clonado de forma que a diferença em relação à janela “real” seja imperceptível; segundo o desenvolvedor, foi “chocantemente fácil” fazer o alerta clonado.

Dá uma olhada na comparação abaixo:

Prova de conceito de ataque phishing no iOS

Idêntico, não? E, antes que alguém diga que essas caixas sempre trazem o email do usuário (o que obrigaria o malfeitor a capturar esta informação antes do ataque), o próprio Krause mostra que não. Em certos casos, a conta nem ao menos é exibida, facilitando a vida dos potenciais hackers.

Prova de conceito de ataque phishing no iOS

Claro que há o argumento de que a Apple nunca deixaria um aplicativo com esse tipo de código passar no seu processo de aprovação da App Store; sob esta lógica, apenas usuários do jailbreak (cujo número está diminuindo a cada dia) poderiam ser alvo desse tipo de ataque. É uma afirmação que está, em grande parte, correta; entretanto, dois fatores devem ser considerados: além de sempre existir a possibilidade de a Maçã deixar passar alguma coisa do tipo, programadores poderiam utilizar códigos remotos ou com base em tempo (ou seja, que não fossem ativados, digamos, na primeira semana de existência do app) para materializar a janela mesmo sem a aprovação da empresa.

Krause, então, oferece algumas sugestões à Apple para que a empresa possa coibir esse tipo de ataque: uma seria sempre solicitar ao usuário que abra os Ajustes para digitar qualquer credencial (o que tornaria a vida um pouco mais difícil, mas melhoraria a segurança do sistema); outra seria exibir sempre o ícone do aplicativo que está exigindo a senha — desta forma, o usuário saberia quando um app “nada a ver” pedisse seu código tentando se passar pela App Store. Por fim, o desenvolvedor sugere também que a Apple mude o comportamento geral do sistema para que ele pare de pedir (ou, ao menos, o faça com menos frequência) essas senhas constantemente.

Do lado do usuário, a curto prazo, algumas medidas podem ser tomadas para que não se caia no golpe do alerta falso. A mais fácil delas seria pressionar o botão de Início toda vez que a janela aparecer — se ela sumir quando o dispositivo lhe levar para a Tela Inicial, era falsa; caso persista, é do sistema (e confiável). Outra medida que pode ser tomada é sempre dispensar essas janelas e digitar as suas credenciais apenas nos Ajustes.

É bom notar, aliás, que mesmo que você digite o seu código e toque em “Cancelar” em seguida, o hacker tem acesso a ele — o que importa não é o ato de enviar, e sim a digitação em si dos caracteres. Portanto, fiquemos atentos!

via The Loop

Posts relacionados
Comentários
  • Evandro Nascimento

    Já cai nisso quando fui instalar um Whatsapp no iPod via jailbreak há muito tempo atrás, quando abri o app ele pediu meu apple id e senha (Nada parecido com essa tela verdadeira), digitei qualquer coisa, não aconteceu nada e o app fechou, acho que se a tela fosse igual a cima eu teria caído kkkk

  • sigma7777777

    Hoje fiquei imaginando que uma assistência técnica mal intencionada pode utilizar a senha de um Mac cedida pelo cliente para visualizar as senhas salvas no sistema/Safari. Acho que deveria existir uma “camada” extra de senha para esse tipo de acesso. Outra problema seria a clonagem e restauração para uso indevido mesmo após entregar a máquina ao cliente. Complicado, não? Alguma solução? Acho que um botão reset no Mac/iMac seria o ideal: resetar e entrega para o conserto, mas é preciso ter um backup. Um não, por segurança vários! Kkk

  • Guilherme Chagas

    Acredito que seja possível colocar uma senha diferente para o acesso as chaves…
    Entrando no utilitário Acesso as Chaves, tu pode selecionar o grupo de Chaves (“login” por exemplo) e trocar a senha… ela será diferente da de login do usuário.

  • Wilan

    Existe a conta de convidado para isso, tudo que a assistência precisar ela pode fazer na conta de convidado ou então dar boot em um sistema de teste deles, a não ser que seja um problema especifico no seu usuário do sistema e você queira que resolva, mas ai ainda sobra a sua inteligência de retirar dados sensíveis da sua conta.

  • Como a tela usa elementos comum da interface do iOS e muito fácil de replicar-la, com apenas poucas linhas de código e possível fazer uma igualzinha…

  • Thiago Ribeiro

    Pra parte da inclusão da tela posteriormente em atualizações do app, eu lembro que foi falado aqui em um post, que a apple iria passar a obrigar os desenvolvedores a enviar todas as atualizações para analise, antes de ser disponibilizada. Ou estou enganado?!
    Senhora appe, corrija isso !!

  • Thalles Souza

    É só digitar errado na primeira vez. Se for do sistema mesmo vai dar erro, se for de App não vai.

  • Marshal

    Caraca o app Tomtom Go me pediu essa senha e qiandoneuncolocava cancelar fechava o app. Precisava do gps e por fim acabei digitando. Devo me preocupar

  • Régis Araújo

    por essas e outras que uso autenticação de duas etapas em tudo que é possivel… inclusive apple id.

  • Marcelo KG

    A janela verdadeira é translúcida, mas a falsa é opaca, correto ou estou viajando?

  • paulobr

    Na verdade as 2 seguem a UI do sistema, sendo translucida.
    Mas a falsa fica presa dentro do App, enquanto que a do sistema pode aparecer na tela home.

  • Prefiro avaliar pelo ícone da bateria, que é escurecido pelo pop-up original do sistema.

  • Lucas Ramos

    Infelizmente não podemos confiar 100% em qualquer aplicativo.
    Mas não podemos também desconfiar de tudo.

    Nesse exemplo é a senha do iCloud que está sendo pedida por um aplicativo malicioso.
    Mas em quantos outros aplicativos colocamos o nosso cartão de crédito, enviamos fotos de nossos documentos, etc?

    Reproduzir a situação acima é a coisa mais fácil que tem para qualquer desenvolvedor. Roubar os dados que você insere em um aplicativo malicioso então, é só alegria para o fraudador.

    O melhor remédio é nunca baixar aplicativos de fontes desconhecidas.
    (Apesar de às vezes termos casos bem duvidosos, vide Uber e a gravação da tela.)

  • J_Eduardo

    Nao sei se efetivamente tem relação com o q diz o desenvolvedor da matéria, mas usando o app “my runner rádio” um belo dia apareceu uma janela pop up indicando q meu iPhone tinha vírus e mandando q eu seguisse um procedimentô que era problema no meu navegador e que me pedia pra acessar um tal site. E quando eu fechava a tal janela o aparelho começava a dar bips e depois retornava a mensagem em pop up. Achei estranho pq não estava usando um navegador e sim um app da Apple Store. Eu uso a versão com anúncios e imaginei q fosse algo por este motivo…Um.dos anúncios criava a tal mensagem, mas…
    Então, Escrevi ao desenvolvedor criticando pq muitos incautos poderiam cair no golpe. Fui orientado a apagar meu histórico e cokies do navegador. Pedi a eles a relação entre o app e o meus navegadores….E o cara não explicou …Aquilo me deixou com a pulga atrás da orelha …Me fazendo desistir da compra do mesmo…Pq uma das minhas hipóteses é q o tal app de rádios nada mais era que uma pagina de safari reconstruída como um app (não sei se isso é possível, mas…). E também achei falta de controle do próprio app algo assim…
    Mas voltando a matéria se um app com anúncios pode me mandar janelas popup, me parece q a questão levantada pode ser séria sim…
    Obs: O app foi atualizado e ainda tem anúncios incomodos mas o popup não aparece mais…

  • João W.

    ainda bem que sempre tenho preguiça de digitar senha quando aparece essa caixa de texto 😀

  • Hades666

    Depois é só o Android, sei……

  • Rafael Gil

    Sim, e vc pode burlar a aprovação da Apple se fizer code push de javascript (é permitido pela apple). Bem fácil de fazer.
    Tem que ficar atento toda vez que pedir senha.

  • Dentista

    Amei essa dica.

  • Mário Klein

    Eu tenho um app que mostra um alert pedindo senha (contexto do app), seria fácil mudar a mensagem remotamente e fazê-la parecer com a original.

  • Mário Klein

    Também existe a possibilidade de simular esse comportamento via programação

  • Paias


Carregar mais posts recentes

Relatório de erro de ortografia

O texto a seguir será enviado para nossos editores: