iOS 14 הוסיפה מערכת אבטחת ארגז חול חדשה 'BlastDoor' למכשירי אייפון ואייפד כדי למנוע התקפות שבוצעו באמצעות אפליקציית ההודעות. אפל לא שיתפה מידע על תוספת האבטחה החדשה, אבל היא הוסבר היום מאת סמואל גרוס, חוקר אבטחה ב-Project Zero של גוגל, ומודגש על ידי ZDNet .
Groß מתאר את BlastDoor כשירות בארגז חול הדוק שאחראי לניתוח כל הנתונים הלא מהימנים ב-iMessages. ארגז חול הוא שירות אבטחה שמבצע קוד בנפרד ממערכת ההפעלה, וזה פועל בתוך אפליקציית ההודעות.
BlastDoor בוחנת את כל ההודעות הנכנסות ובודקת את תוכנן בסביבה מאובטחת, המונעת מכל קוד זדוני בתוך הודעה ליצור אינטראקציה עם iOS או לגשת לנתוני משתמש.
כפי שניתן לראות, רוב העיבוד של נתונים מורכבים ולא מהימנים הועבר לשירות BlastDoor החדש. יתר על כן, עיצוב זה עם 7+ השירותים המעורבים בו מאפשר ליישם כללי ארגז חול עדינים, לדוגמה, רק תהליכי IMTransferAgent ו-apsd נדרשים לביצוע פעולות רשת. ככזה, כל השירותים בצינור הזה נמצאים כעת בארגז חול כראוי (כאשר שירות BlastDoor הוא ללא ספק בארגז חול החזק ביותר).
התכונה תוכננה כדי לסכל סוגי התקפות ספציפיים, כגון אלה שבהם האקרים השתמשו במטמון משותף או בהתקפות של כוח גס. כפי ש ZDNet מציין, חוקרי אבטחה מצאו באגים בביצוע קוד מרחוק של iMessage במהלך השנים האחרונות שיכולים לאפשר אייפון להחדיר רק טקסט, שבו BlastDoor צריך לטפל.
Groß מצא את התכונה החדשה של iOS 14 לאחר חקירה של קמפיין פריצה ל-Messages שכוון לעיתונאים של אל-ג'זירה. המתקפה לא עבדה ב-iOS 14, וחקירת הסיבה הובילה לגילוי של BlastDoor.
לדברי Groß, השינויים ב-BlastDoor של אפל 'קרובים למיטב שניתן היה לעשות בהתחשב בצורך בתאימות לאחור', ויהפכו את פלטפורמת iMessage לאבטחה משמעותית.
פוסט זה בבלוג דן בשלושה שיפורים ב-iOS 14 המשפיעים על אבטחת iMessage: שירות BlastDoor, החלקה מחדש של המטמון המשותף והצערה אקספוננציאלית. בסך הכל, השינויים הללו קרובים מאוד למיטב שניתן היה לעשות בהתחשב בצורך בתאימות לאחור, והם אמורים להיות בעלי השפעה משמעותית על האבטחה של iMessage ושל הפלטפורמה כולה.
זה נהדר לראות את אפל שמה בצד את המשאבים לסוגים אלה של עיבודים גדולים כדי לשפר את האבטחה של משתמשי הקצה. יתר על כן, שינויים אלה גם מדגישים את הערך של עבודת אבטחה התקפית: לא רק באגים בודדים תוקנו, אלא במקום זאת בוצעו שיפורים מבניים על סמך תובנות שהושגו מעבודת פיתוח ניצול.
מי שמעוניין בסקירה המלאה על אופן פעולת BlastDoor יכול לבקר באתר פוסט בבלוג של Project Zero בנושא .
רשום פופולרי