แอพพลิเคชันอันครายที่ใช้ช่องโหว่ของ iOS ขื่อว่า SSLSniff ซึ่งมันได้รับการอัพเดตความสามารถในการใช้ช่องโหว่ของ iOS แล้วด้วย โดย SSLSniff เวอร์ชันใหม่นี้จะสามารถดักจับข้อมูลจากช่องทางการสื่อสารที่ปลอดภัยของอุปกรณ์ iOS ที่ยังไม่แพตช์ได้ โดยผู้เชี่ยวชาญจาก Sophos กล่าวว่า ใครที่ใช้อุปกรณ์ใดๆ ก็ตามที่ทำงานด้วย iOS ต้องระวังโดนแอบดักจับข้อมูลด้วย SSLSniff ที่สามารถทำงานกับ iOS 4.3.4 สำหรับอุปกรณ์ GSM ไปจนถึง 4.2.9 สำหรับ CDMA และรุ่นทีเก่ากว่า ซึ่งรวมถึง iOS 5 รุ่นทดสอบ
เนื่องจากระบบรับรองความปลอดภัย (security certificate system) ของ iOS มีจุดอ่อนที่สามารถใช้เป็นช่องโหว่ โดยเฉพาะการทีมันยอมให้ใบรับรองดิจิตอลที่ซื้อมาจาก CA แห่งหนึ่งไปใช้ในการรับรองอื่นๆ ได้ด้วย ซึ่งทำให้ iOS เข้าใจผิดคิดว่า การรับรองนั้นใช้ได้อย่างถูกต้อง นั่นหมายความว่า แฮคเกอร์สามารถหลอกให้อุปกรณ์เชื่อมต่อทีมีการรับรองได้ โดยผู้ใช้ไม่ทันสงสัยว่า ความจริงแล้ว กำลังถูกเชื่อมต่อโดยแฮคเกอร์ "การอนุญาตในลักษณะนี้ทำให้ใครก็สามารถดักจับแทรฟฟิกของ iPhone, iPad หรือ iPod Touch ด้วยเทคนิค man-in-the-middle เพื่อดักจับ และอ่านข้อมูลทั้งหมดที่วิ่งอยู่บนแทรฟฟิก SSL ได้โดยที่ผู้ใช้ไม่รู้ตัว" ผู้เชี่ยวชาญกล่าว
กรณีของช่องโหว่ที่พบนี้ ถือเป็นเรื่องเร่งด่วนมาก เนื่องจากผู้ใช้อุปกรณ์ iOS ส่วนใหญ่จะใช้ฮอตสปอต Wi-Fi สาธารณะ ซึ่งทำให้ผู้บุกรุกสามารถเจาะได้ง่ายมาก สำหรับผู้ใช้ iPhone รุ่นแรก หรือ iPhone 3G หรือ iPod Touch ทั้งรุ่นแรก และรุ่นที่สอง จุดอ่อนที่ใช้โจมตีในลักษณะดังกล่าวจะไม่ได้รับการแก้ไข เพราะ Apple ไม่มีนโยบายอัพเดตให้แล้ว ดังนั้นผู้ใช้กลุ่มนี้จึงเสี่ยงต่อการถูกเจาะมากทีสุด ผูัเชี่ยวชาญจาก Recurity Labs ได้สร้างเว็บไซต์ https://issl.recurity.com ที่ผู้ใช้ iOS สามารถท่องเข้าไปด้วยอุปกรณ์ เพื่อตรวจสอบว่ามีช่องโหว่ดังกล่าว หรือไม่? ซึ่งหากเห็นหน้าเว็บปรากฎขึ้นมาโดยไม่มีการแจ้งเตือนใดๆ ก้แสดงว่า คุณมีช่องโหว่ที่จะใช้ในการหลอกเข้าโจมตีได้โดยไม่รู้ตัวนั่นเอง (ในรูปข้างบนนี้ ด้านซ้ายมือจะเป็น iOS ที่ยังไม่ได้แพตช์ จะไม่มีการแจ้งใดๆ โดยแสดงหน้าเว็บให้เห็นทันที ส่วนทางด้านขวาเป็น iOS 4.3.4. หน้าจอจะแจ้งเตือน)
เว็บไซต์ในข่าว: Apple
แสดงบนเว็บไซด์ : http://www.it4x.com
ที่อยู่ของข้อความต้นฉบับ: http://www.arip.co.th/news.php?id=414094
บันทึกการเข้า
