Onlarca iOS uygulamasında güvenlik açığı var

Onlarca popüler iPhone uygulamasının dışarıdan gelen saldırılara karşı savunmasız olduğu, hackerların şifrelenmiş verilere dışarıdan erişebildiği belirlendi. Pazartesi günü yayınlanan bir blog yazısında, bu uygulamaların yaklaşık 18 milyon cihazda yüklü olduğu belirtildi.

Adı açıklanan 33 adet uygulama arasından Uconnect Access, kullanıcı adı ve şifre bilgilerini sızdırarak bir saldırganın, kullanıcının aracına müdahale etmesine izin verebiliyor. Huawei HiLink adlı uygulama cihazın bilgisini sızdırabilirken, Cheetah Browser kullanıcının konum bilgisini hatta ekranın neresine dokunulduğunu gösterebiliyor.

Geliştiricilerin düzeltmesi bekleniyor

Toplam 40’ın üzerinde uygulamanın, aracı saldırılarına karşı orta ya da yüksek düzeyde risk taşıdığı yani bir saldırganın finansal ya da tıbbi verilere erişme olasılığının bulunduğu belirtildi. Etkilenen tüm uygulamaların adı hemen açıklanmadı. Önümzdeki 2-3 aylık süreç içinde uygulama geliştiricilerinin bu sorunu çözmesi beklenecek.

Uzmanlar kablosuz internet kullanıcılarının daha fazla risk altında olduğunu belirtiyor. Hücresel ağlar hem daha güvenli, hem de saldırganı tespit etmek daha kolay olabiliyor. Üstelik çoğu ülkede bir hücresel ağ üzerinden başkasının cihazına izinsiz müdahalede bulunmak suç teşkil ediyor.

Problem basit, çözüm zor

Aslında çok karmaşık bir sorun olmamasına rağmen bu problemi çözmek zor olabilir. Uygulama geliştiricilerinin kötü bir şekilde uyguladığı ağ kodu, uygulamanın tüm sertifikaların şifreli bir bağ kurmasına izin vermesi anlamına geliyor. Bir saldırgan, yakınlarda bulunan bir cihazdaki uygulamayı, kendi sertifikasını kabul etmesi yönünde kandırarak, uygulamadan bütün verileri alabilir ya da yeni veriler ekleyebilir.

Apple’ın uygulama taşıma güvenliği özelliği de bu işlemi engellemiyor çünkü saldırganın sertifikası da aslında geçerli ve şifreli bir bağlantı olarak görülüyor. Apple bu konuda herhangi bir düzenleme de yapamıyor çünkü bu bağlantıyı kabul etmezse o zaman tüm şifreli sertifikalar da işlevsiz hale gelecek. Böylece saldırganların uygulamalara ulaşması çok daha kolay olacak.

Şu anda top uygulama geliştiricilerinde. Bu tarz açıkların uygulamalardan bir an önce kaldırılması gerekiyor.

Kaynak: ZDNet