Уязвимости в iPhone и Android открывают лазейку злоумышленникам

  Нововведение Apple, которое позволяет прямо из мобильного браузера вызывать другие приложения, содержит неприятную уязвимость, из-за которой злоумышленник может творить на iPhone пользователя все, что угодно. А уязвимости в операционной системе Google Android позволяют устанавливать на мобильные устройства пользователей вредоносное ПО.

  Apple некоторое время назад предложила специальный протокол URL Schemes, предназначенный для того, чтобы вставлять в веб-страницы, ориентированные на просмотр в мобильном Safari, ссылки специального рода. Эти ссылки позволяют открыть какое-либо приложение и заставить его выполнить какое-либо действие. Например, ссылка «skype://74957969388?call» заставит iPhone открыть Skype и позвонить по московскому номеру 796-93-88. Авторы приложений могут сами создавать различные обработчики ссылок для своих приложений. Это достаточно удобно и существенно обогащает веб-страницы для мобильного Safari.

  Как сообщает Sans.org, эти ссылки потенциально небезопасны. Во-первых, Safari позволяет загружать содержимое ссылок в iframe, иными словами, в обычном Вебе это самый простой способ показать содержимое одной веб-страницы внутри другой. В случае же когда количество типов обрабатываемых источников велико, при помощи iframe можно заставить веб-страницу при загрузке открывать другие программы и выполнять в них действия.

  Неприятность для пользователя не только в том, что могут быть открыты программы, но и в том, как именно обрабатываются эти «расширенные» вызовы. iPhone не спрашивает у пользователя, хочет ли он его выполнить, а просто выполняет во всех случаях, кроме тех, когда страница пытается спровоцировать телефонный звонок. Если же она, например, хочет осуществить вызов Skype, ей никто препятствовать не станет. Пользователь начнет загружать веб-страницу, в этот момент откроется Skype и начнет звонить по какому-то номеру. Так как iOS теперь в некотором смысле многозадачна, загрузка веб-страницы при этом продолжится, и если там будут другие элементы, открывающие программы, последствия нетрудно вообразить.

  Со стороны разработчиков приложений можно сделать крайне немногое: приложение не в состоянии понять, кто его вызвал - пользователь по своей воле или веб-страница. Значит, чтобы уберечься, им придется заставлять людей подтверждать каждое свое действие, что является катастрофой с точки зрения удобства. Единственный способ избежать неприятных последствий - это отказаться от поддержки своего приложения в URL Schemes и ждать действий со стороны Apple. Apple же может пойти двумя путями: запретить загрузку URL Schemes в iframe или позволить приложениям запрашивать согласие пользователя на запуск из Safari. Третий путь - оставить все как есть - сбрасывать со счетов нельзя, но на развитии новинки от Apple он скажется весьма плачевно.

  Исследователям в области безопасности удалось обнаружить уязвимости также в операционной системе Google Android; эксплуатация этих ошибок может позволить злоумышленникам установить на мобильные устройства пользователей вредоносное программное обеспечение.

  Всего уязвимостей две; более серьезную и опасную из них эксперты продемонстрировали в среду, 10 ноября, разместив в магазине Android Market приложение-образец. Концептуальная программа была замаскирована под расширение для популярной игры Angry Birds; при запуске она тайно устанавливала еще три приложения, которые получали доступ к адресной книге, геолокационным данным, функциям SMS, а также осуществляли соединения с удаленным сервером - и все эти действия производились в обход встроенной системы выдачи предупреждений, которая служит защитой пользователям Android.

  Один из исследователей, сотрудник Scio Security Джон Оберхейд, отметил, что приложение-эксплойт удалили из магазина примерно через 6 часов. Проблема, однако, не в конкретном программном продукте, а в метках безопасности, которые Google применяет для аутентификации пользователей Android; эти метки являются частью системы, напоминающей реализацию технологии единого входа, и благодаря им пользователь может не раскрывать свой пароль третьесторонним службам. Однако в системе меток имеются недочеты, которые и проэксплуатировали специалисты по безопасности.

  "Наше концепт-приложение способно использовать метки безопасности в своих целях, и с их помощью оно получает возможность выполнять все те же самые действия, что и легитимные продукты из магазина Android Market, но без появления запросов на разрешение той или иной операции", - пояснил г-н Оберхейд. - "Изучив проблему, мы выяснили, что одну-единственную метку, принадлежащую некоторой службе Android, можно задействовать для обхода любых ограничений встроенной системы защиты".

  Представители Google сообщили, что в настоящее время идет работа над официальным комментарием компании по поводу выявленных г-ном Оберхейдом и его коллегой по работе с уязвимостями Заком Ланье ошибок безопасности.

  Необходимо заметить, что в тот же день поступила информация о еще одной проблеме - на этот раз во встроенном Интернет-обозревателе Android. Исследователь из Великобритании продемонстрировал, как потенциальный злоумышленник может установить вредоносное ПО на коммуникатор HTC Legend под управлением Android 2.1 со всеми доступными обновлениями. Актуальный выпуск мобильной ОС Google - 2.2, но, по сведениям самой компании, 64% владельцев Android-устройств все еще работают с версией 2.1.