Apple o mito do sistema seguro e como a segurança e afetada

Talvez por esta falta de claridade, muitos acreditam que os sistemas Apple são mais seguros, porém… “quem muito esconder muito tem a mostrar” !

Isso diz muito sobre o relacionamento da Apple com pesquisadores de segurança terceirizados. Infelizmente, as coisas não mudaram muito ao longo dos anos e esta é uma causa constante de tensões no relacionamento entre a Apple e as pessoas que tentam falar sobre questões de segurança. Durante a conferência, a Apple foi vaiada várias vezes pelo público após relatos de palestrantes do OBTS sobre relatórios de bugs e patches mal gerenciados.

O que a Apple foi acusada de fazer? Infelizmente, houve várias ofensas. Em primeiro lugar, vários pesquisadores de segurança relataram obter recompensas por bugs significativamente mais baixas do programa de recompensa por bugs da Apple do que deveriam. Por exemplo, Cedric Owens ( @cedowens ) descobriu um bug no macOS que permitiria a um invasor acessar informações confidenciais. O programa de recompensa de bugs da Apple afirma que esses bugs valem até US $ 100.000. Eles pagaram a Cedric US $ 5.000, discutindo sobre a definição de “dados confidenciais“. (Para registro a malwarebytes cita que “o bug do Cedric dava absolutamente acesso ao que qualquer pesquisador de segurança ou administrador de TI consideraria dados confidenciais”)

Outros pesquisadores relataram problemas semelhantes, com pagamentos significativamente reduzidos para bugs que deveriam ser qualificados para mais. Além disso, geralmente há uma espera significativa para que as recompensas sejam pagas, depois que os bugs foram corrigidos – às vezes seis meses ou mais. A Apple também tinha a tendência de “ficar em silêncio”, não respondendo aos pesquisadores de forma adequada durante o processo de lidar com os relatórios de bugs, e repetidamente falhou em creditar adequadamente os pesquisadores, ou mesmo mencionar bugs importantes, em suas notas de lançamento.

Tudo isso deixa um gosto amargo na boca de muitos pesquisadores, e alguns decidiram divulgar publicamente suas vulnerabilidades – como no caso de David Tokarev, que publicou três vulnerabilidades depois que a Apple deixou de agir sobre elas por muitos meses.

Lembre-se aqui de que a Apple é uma das empresas mais ricas do mundo. Pagar os preços mais altos por bugs de segurança custaria centavos em comparação com os lucros anuais da Apple.

Um mito de remendar quebrado

Há muito tempo é uma regra que a Apple oferece suporte ao sistema atual, além dos dois anteriores, com patches relacionados à segurança. Atualmente, isso significaria macOS 11 (Big Sur), mais macOS 10.15 (Catalina) e macOS 10.14 (Mojave).

No entanto, isso não é algo que a Apple já tenha declarado. Sinceramente, não sei dizer de onde veio essa ideia, mas o autor do texto no Blog da Malwarebytes, Thomas Reed, diz ela ecoou na comunidade Mac por quase duas décadas. Embora pesquisadores e alguns administradores de TI tenham questionado por anos se essa “sabedoria convencional” é realmente verdadeira, muitos acreditam nela. Josh Long ( @theJoshMeister ) fez muitas pesquisas sobre isso e apresentou suas descobertas na conferência.

Houve muitos bugs no ano passado que foram corrigidos apenas para alguns dos “três sistemas atuais”. Isso era conhecido até certo ponto, mas os dados de Josh foram reveladores quanto à extensão em que isso estava acontecendo. Pessoas que estavam cientes de algumas dessas discrepâncias teorizaram que alguns desses bugs podem não ter afetado todos os três sistemas, e isso pode explicar por que os patches nunca foram lançados para eles.

No entanto, Josh foi capaz de rastrear os pesquisadores de segurança que encontraram esses bugs e confirmou que, em pelo menos um caso, o Mojave foi afetado por um bug que foi corrigido apenas em Catalina e Big Sur. Portanto, sabemos agora que essa regra prática é falsa. Isso confirmou as suspeitas de muitas pessoas, mas muitos outros continuaram a acreditar no mito. Isto agora está ecoando nos próprios fóruns da Apple, entre outros lugares.

O fato de que essa especulação persistiu por anos, e que pesquisas foram mesmo necessárias para provar que era falsa, é uma grande falha por parte da Apple. A Microsoft informa a seus usuários se um sistema ainda é compatível ou não. Por que a Apple não pode fazer o mesmo? Ficar em silêncio e permitir que as pessoas acreditem no mito dos “três sistemas suportados” significa que algumas máquinas ficam vulneráveis ​​a ataques.

Neste ponto, você deve assumir que apenas o sistema mais atual – Big Sur no momento, mas logo será Monterey – é o sistema mais seguro e que pode haver vulnerabilidades conhecidas que não foram corrigidas em todos os outros. Isso significa que você deve sentir um senso de urgência maior ao fazer a atualização quando um novo sistema como o Monterey for lançado, em vez de esperar meses para fazer a atualização.

A Apple adora privacidade, mas você ainda pode ser rastreado

A Apple é conhecida por sua forte postura em relação à privacidade. (Thomas diz isso como se a Apple não fosse conhecida de outra forma, e você poderia dizer: “Qual é o nome daquela empresa que realmente gosta de privacidade?”) No entanto, ouvimos muito falar sobre acesso a dados e rastreamento, apesar disso. (Ou talvez por causa das opiniões da Apple sobre privacidade, é mais interessante quando aprendemos como violá-la?)

Eva Galperin ( @evacide ) falou sobre como stalkers podem rastreá-lo no iOS, apesar das proteções da Apple. De uma perspectiva técnica, spyware – definido como software executado no dispositivo que vigia e rastreia você – não é muito importante, por causa das restrições da Apple sobre o que os aplicativos podem fazer, além do fato de que você não pode ocultar um aplicativo no iOS .

No entanto, Eva mostrou como as empresas de spyware são, mesmo assim, capazes de permitir que você se aproxime do seu ex. Muitas dessas empresas fornecem portais onde você insere o ID Apple e a senha de sua vítima de perseguição, o que permite o rastreamento por meio dos recursos do iCloud. O e-mail do iCloud pode ser lido, bem como notas, lembretes, arquivos no iCloud Drive e muito mais. Find My pode fornecer a localização da vítima. As fotos sincronizadas com o iCloud podem ser visualizadas. E assim por diante.

Você pode dizer: “Mas espere! Isso exige que eu saiba a senha do ID Apple da minha vítima e tenha acesso à autenticação de dois fatores! Portanto, este não é um problema. ” No entanto, lembre-se de que, em muitas situações de violência doméstica, o invasor tem exatamente esse tipo de informação. Além disso, as credenciais de ID da Apple podem ser facilmente encontradas em violações de dados, para vítimas em potencial que usaram a mesma senha para ID da Apple que usaram em outro lugar, e existem técnicas que os invasores podem usar para capturar códigos de autenticação de dois fatores.

Além disso, vamos todos nos lembrar da situação, alguns anos atrás, em que alguém conseguiu enganar o suporte da Apple para ajudá-los a obter acesso a contas de celebridades, a fim de roubar suas fotos nuas do iCloud. O problema de privacidade da Apple não é novo, em 2019 publicamos aqui no Blog que a Apple suspendeu programa Siri após contestações sobre privacidade , em 2018 publicamos que o Facebook e Apple permitem baixar os dados armazenados sobre você e em 2017 Smartphone da Apple pode ser o seu maior pesadelo de privacidade!

Em um tópico diferente, Sarah Edwards ( @iamevltwin ) falou sobre a Apple Wallet. Como especialista forense, Sarah tem um profundo conhecimento dos dados e de como acessá-los, e demonstrou o tipo de dados que podem ser obtidos com o acesso aos backups do iPhone. Se um invasor puder obter acesso a esses backups, haverá uma grande quantidade de informações sobre suas atividades diárias, lugares que você frequenta e muitas outras coisas a serem coletadas.

A Apple enlouqueceu … e quem é Keith?

A parte mais divertida da conferência veio durante a palestra de Sarah Edwards, quando ela discutiu os dados encontrados em um banco de dados específico para a Apple Wallet. Esse banco de dados continha centenas de tabelas, e a maioria delas recebeu o nome de frutas. Sim, você me ouviu corretamente – bananas, laranjas, limões, … durians! Todos são nomes de tabelas em um banco de dados relacionados à sua carteira.

À primeira vista, isso é bastante intrigante. Mas faz certo sentido. Se você estiver tentando extrair alguns dados desse banco de dados, terá que trabalhar muito para descobrir como encontrá-los. Os nomes das tabelas não irão ajudá-lo em nada . Isso é uma coisa muito boa, embora eu não inveje os desenvolvedores que precisam manter todos esses bancos de dados em ordem. (“Onde colocamos os dados nos cartões da biblioteca novamente? Ah, sim, em ‘kiwis!‘”)

Embora muitas dessas tabelas ainda sejam um mistério, Sarah foi capaz de determinar o propósito de algumas delas, por meio de experimentação e observação. Ainda assim, muitas tabelas continham apenas coisas como números de identificação e carimbos de data / hora, que por si só não fazem sentido.

Todas as discussões relacionadas à privacidade à parte, esses nomes de mesa Lembram do lado divertido e lúdico da Apple, que raramente vemos hoje em dia. Todo mundo conhece a fachada secreta da Apple, e os pesquisadores de segurança freqüentemente experimentam as arestas afiadas da Apple. No entanto, os usuários antigos da Apple conhecem e amam a “Apple divertida”. Esta é a Apple que inscreveu as assinaturas de todos os engenheiros no interior das primeiras caixas de Mac inteiras, onde apenas alguns poderiam vê-las. Ou a Apple que incluiu um arquivo de calendário contendo um histórico da Tolkien’s Middle Earth oculto em todas as cópias do macOS. Ou a Apple que costumava fazer o Rickroll na página de suporte do Apple Watch!

Apesar de todas as falhas da Apple das quais gostamos de reclamar, a descoberta deste banco de dados trouxe de volta memórias da Apple que muitos mama, e lembrou que não é apenas uma corporação sem rosto, mas também uma empresa cheia de pessoas que também sabem e amam a mesma Apple que seus consumidores.

Fonte: Malwarebytes