21.09.2012 Новости, БезопасностьВ рамках состязания Mobile Pwn2Own, прошедшего в Голландии и приуроченного к ИБ-конференции EUSecWest, хакеры взломали смартфон iPhone 4S. Организаторы конкурса Pwn2Own на этот раз изменили правила, обязав разработчиков писать код для взлома прямо на конкурсной площадке, а не приносить готовые наработки с собой. Отыскать уязвимость в iPhone 4S смогли нидерландские специалисты по компьютерной безопасности Йоост Пол и Даан Кейпер из компании Certified Secure. Используя уязвимость в браузерном движке WebKit, они получили контроль над аппаратом и загрузили личные данные: адресную книгу, фотографии, почту, журнал браузера и другую информацию. “Мы начинали с нуля, и подготовка взлома заняла у нас около трех недель, при этом мы занимались этим во внеурочное время. Большую часть этого времени было потрачено на использование разных методов аудита кода, чтобы выведать слабости WebKit и получить эксплойт в его чистом виде”, — говорит Пол. Эксперт пояснил, что для взлома iPhone 4S использовалась так называемая уязвимость нулевого дня, которая помогла обойти защиту в части строгих требований Apple по подписанию кода в “песочнице” интернет-браузера Mobile Safari. “Мы очень хотели узнать, сколько времени потребуется мотивированному злоумышленнику, чтобы взломать ваш iPhone. Мотивация была серьёзной, что помогло нам решить задачу найти уязвимость в WebKit. Уязвимость — это главное, но для того, чтобы написать эксплойт, потребовалось связать воедино ...
читать далее.
