W ostatnim czasie zidentyfikowano poważną lukę bezpieczeństwa w Safari w systemach operacyjnych iOS i macOS, określaną jako iLeakage.
Zgodnie z badaniami w dziedzinie cyberbezpieczeństwa, ta luka pozwala na wykradzenie poufnych informacji, takich jak hasła i dane osobiste, za pośrednictwem przeglądarki Safari na urządzeniach Mac oraz dowolnej przeglądarki internetowej na urządzeniach z systemem iOS.
Mechanizm działania tej luki został zbadany i zaprezentowany w formie ataku typu proof of concept przez zespół badawczy. Badacze stworzyli stronę internetową wykorzystującą iLeakage, która po odwiedzeniu przez użytkownika podatnego urządzenia aktywuje skrypt JavaScript. Ten skrypt otwiera w tle wybraną przez atakującego stronę i przechwytuje zawartość tej strony w oknie dialogowym. Skuteczność tej luki została potwierdzona w testach, które pozwoliły na wydobycie historii przeglądania na YouTube, treści skrzynki pocztowej Gmail i automatycznie wypełnianych haseł.
Istotne jest, że luka iLeakage jest wariantem wcześniej znanych błędów w mikroprocesorach, nazwanych Spectre i Meltdown, odkrytych w 2018 roku. Obydwa te błędy wykorzystywały technologię wykonania spekulacyjnego w procesorach, co stanowiło nową formę ataku na poziomie mikroarchitektonicznym. Producenci sprzętu i oprogramowania od tego czasu wprowadzili różne mechanizmy zabezpieczające, w tym również te dotyczące pomiaru czasu wykonania operacji przez procesor. Niemniej jednak, iLeakage zdaje się obchodzić te zabezpieczenia.
W kontekście realnego ryzyka, sytuacja ma swoje dobre i złe strony. Z negatywnego punktu widzenia, każda osoba zdolna do wykorzystania tej luki może w niezauważalny sposób przekierować urządzenie na wybraną stronę i przechwycić informacje z tej sesji. Nie jest wymagane dużo zasobów do przeprowadzenia ataku, co zwiększa jego potencjalną skuteczność.
Jednakże, z pozytywnej strony, przeprowadzenie ataku za pomocą tej luki wymaga znaczącej wiedzy technicznej i doświadczenia w dziedzinie cyberbezpieczeństwa. To oznacza, że prawdopodobieństwo masowego wykorzystania tej luki przez przeciętnych cyberprzestępców jest niewielkie. Warto również zauważyć, że producenci oprogramowania, w tym Apple, są już świadomi problemu i prawdopodobnie wydadzą odpowiednie łatki bezpieczeństwa przed tym, jak luka zostanie wykorzystana na szeroką skalę.
W skrócie: Odkrycie luki iLeakage w systemach iOS i macOS stanowi poważne wyzwanie dla środowiska cyberbezpieczeństwa. Zastosowanie tej luki może prowadzić do wykradzenia poufnych informacji, ale jej wykorzystanie na razie jest ograniczone do osób z wysokim poziomem wiedzy technicznej. Jak zwykle, zaleca się aktualizację oprogramowania i systemów do najnowszych wersji, aby zminimalizować ryzyko kompromitacji danych.
