.



Ernstig iOS en OS X-lek maakt diefstal van wachtwoorden uit apps mogelijk

iphone-6-plus

Een groep onderzoekers heeft een ernstig beveiligingsgat gevonden in Apple’s besturingssystemen iOS en OS X. De onderzoekers zijn erin geslaagd een malafide app in de App Store te krijgen en via deze app gevoelige informatie uit andere geïnstalleerde apps te stelen. Denk hierbij aan wachtwoorden.

De onderzoeksgroep beschrijft in een whitepaper dat de fout zit in de wijze waarop Apple apps met elkaar laat communiceren. Het beveiligingsgat is al enige tijd geleden door de onderzoekers ontdekt. Tegenover The Register melden de onderzoekers door Apple gevraagd te zijn het lek zes maanden stil te houden zodat het probleem kan worden opgelost. Deze periode is inmiddels verlopen, maar het gat is nog steeds aanwezig in zowel iOS als OS X. De onderzoeksgroep maakt het lek daarom nu openbaar.

Eigen sandbox

Apple isoleert iedere app in een eigen sandbox, wat moet voorkomen dat apps toegang kunnen krijgen tot elkaar informatie. De onderzoekers zijn er echter in geslaagd deze beveiligingsmaatregel te omzeilen en toch toegang te krijgen tot informatie uit andere apps. Dit noemen de onderzoekers ‘unauthorized cross-app resource access’ (XARA).

De onderzoekers hebben hun methode getest met een speciaal ontworpen malafide app, die zij met succes in de App Store voor zowel OS X als iOS hebben weten te krijgen. Via deze app wisten zij vervolgens op een iPhone van een onderzoeker toegang te krijgen tot informatie uit andere apps die op de smartphone geïnstalleerd vonden. Het probleem is vervolgens getest met een grote selectie van apps. Van maar liefst 88,6% van deze apps blijkt het mogelijk via deze methode gevoelige informatie in handen te krijgen. Het zou onder andere gaan om de wachtwoordmanager 1Password en webbrowser Google Chrome.

XARA

XARA is overigens niet nieuw. Het probleem bestaat al langer op het mobiele besturingssysteem Android. Over het bestaan van een dergelijk beveiligingsgat op iOS of OS X was echter nog niets bekend. Nu blijkt dat beide besturingssystemen van Apple dus ook een dergelijk kritiek lek bevatten.

Meer over
Lees ook
Nieuwe smartphone beveiligt alle communicatie en content van gebruikers

Nieuwe smartphone beveiligt alle communicatie en content van gebruikers

Archos Group en Mirabilis/Sikur lanceren de GranitePhone, een volledig beveiligd smartphone. De smartphone is gericht op zowel consumenten, professionals als grootzakelijke gebruikers die hun communicatie willen beveiligen. De GranitePhone beveiligt zowel spraakgesprekken, tekstberichten, data als instant messaging. Onderzoek van The Center for St1

SANS Secure Europe helpt cyberaanvallen te voorkomen met cursussen

SANS Secure Europe helpt cyberaanvallen te voorkomen met cursussen

SANS Institute verzorgt van 4 tot en met 16 april SANS Secure Europe 2016, een Europese ICT-security opleidingsevenement in de Nederlandse hoofdstad Amsterdam. Op het event worden 8 verschillende cursussen gegeven die securityverantwoordelijken helpen cyberaanvallen te voorkomen. Het SANS Secure Europe 2016 programma bestaat uit 8 complementaire c1

ESET introduceert beveiliging van virtuele omgevingen

ESET introduceert beveiliging van virtuele omgevingen

De leverancier van securitytools ESET introduceert een nieuwe oplossing voor het op afstand beveiligen van virtuele omgevingen. Het gaat om een combinatie van de nieuwste versie van de Remote Administrator en een nieuw product voor de beveiliging van virtuele omgevingen. Door het 'agentless' karakter van de oplossing bestaat er geen risico op zoge1