Artikel top billede

Apple bortviser researcher for at afsløre fejl i iOS

Apple har bortvist sikkerheds-researcher, fordi han har skabt en applikation til iOS, som i virkeligheden blev designet til at udnytte en sikkerhedsfejl, som han selv havde opdaget.

Computerworld News Service: Få timer efter, han havde diskuteret sagen med sikkerhedsreporter fra Forbes, Andy Greenberg, som offentliggjorde detaljerne, modtog sikkerheds-researcher Charlie Miller en e-mail fra Apple:

"Dette brev skal anses som en opsigelse af den iOS Developer Program License-aftale, som findes mellem dig og Apple. Opsigelsen er gældende øjeblikkeligt."

Baseret på Andy Greenbergs opfølgende artikel, så var Apple i sin gode ret til at gøre, som virksomheden gjorde.

Charlie Miller skabte en applikation som proof-of-concept, der skulle demonstrere sikkerhedsfejlen, og hvordan den kan udnyttes af en ondsindet kode.

Han valgte derefter at gemme koden i en uskyldigt udseende aktie-applikation, og det var netop den handling, der, ifølge Apple, "var i modstrid med udviklings-aftalen, der forbød ham at 'gemme, misrepræsentere eller camouflere dele af applikationen'," skriver Andy Greenberg.

Han citerer desuden Charlie Miller, som arbejder for sikkerheds-konsulentfirmaet Acuvant, "Jeg er vred. Jeg indsender bugs til dem hele tiden. At være en del af udvikler-programmet hjalp mig også med det. De skader sig selv og gør mit liv sværere."

Charlie Miller, der er tidligere ansat hos National Security Agency (den amerikanske efterretningstjeneste, red.), er kendt som hacker med såkaldt 'hvid hat' og har ekspertise inden for Apples platforme Mac OS X og iOS, heriblandt Safari-browseren og Android.

Charlie Miller "har fundet og indrapporteret dusinvis af bugs til Apple igennem de seneste år," bemærker Andy Greenberg.

Detektivarbejde

Charlie Miller indsendte den seneste bug til Apple for knap tre uger siden, og det var Andy Greenbergs offentliggørelse af sagen i denne uge, inden Charlie Millers planlagte præsentation i næste uge, der fik researcheren smidt ud af udviklerprogrammet.

Sårbarheden giver et fascinerende indblik i det detektivarbejde, der ligger bag informationssikkerhed.

Charlie Miller opdagede en fejl, der var blevet introduceret i Apples restriktioner for kode-signering til enheder med iOS.

Kode-signering er en proces, der sikrer, at det kun er Apple-godkendte kommandoer, der kan køre i enheden hukommelse, står der i Andy Greenbergs artikel.

Charlie Miller fik mistanke om fejlen i forbindelse med Apples udsendelse af iOS 4.3 i marts. Han indså, at Apple for at øge hastigheden i Safari-browseren for første gang havde tilladt Javascript-kode fra en hjemmeside at køre på et dybere niveau i hukommelsen.

Det skabte til gengæld en sikkerheds-undtagelse, der gjorde det muligt for browseren at køre ikke-godkendt kode.

Ifølge Andy Greenbergs historie har Apple skabt andre sikkerhedsrestriktioner for at forhindre utroværdige hjemmesider i at udnytte undtagelsen, så det kun er browseren, der kan bruge den.

Oversat af Marie Dyekjær Eriksen




Brancheguiden
Brancheguide logo
Opdateres dagligt:
Den største og
mest komplette
oversigt
over danske
it-virksomheder
Hvad kan de? Hvor store er de? Hvor bor de?
Despec Denmark A/S
Distributør af forbrugsstoffer, printere, it-tilbehør, mobility-tilbehør, ergonomiske produkter, kontor-maskiner og -tilbehør.

Nøgletal og mere info om virksomheden
Skal din virksomhed med i Guiden? Klik her

Kommende events
Cyber Threats 2024: Sådan arbejder de it-kriminelle – og sådan beskytter du dig

De cyberkriminelle har udviklet sig betydeligt, arbejder professionelt, fleksibelt og udnytter hinandens specifikke kompetencer – omtrent som en velsmurt koncern med klar ansvarsfordeling – og har ofte en klar politisk eller kommerciel motivation. Det stiller også nye krav til din tilgang til cybersikkerhed, og på Cyber Threats 2024 får du viden, som gør dig i stand til bedre at prioritere, planlægge og eksekvere en tidssvarende cybersikkerhedsstrategi.

06. november 2024 | Læs mere


Cyber Threats 2024: Sådan arbejder de it-kriminelle – og sådan beskytter du dig

De cyberkriminelle har udviklet sig betydeligt, arbejder professionelt, fleksibelt og udnytter hinandens specifikke kompetencer – omtrent som en velsmurt koncern med klar ansvarsfordeling – og har ofte en klar politisk eller kommerciel motivation. Det stiller også nye krav til din tilgang til cybersikkerhed, og på Cyber Threats 2024 får du viden, som gør dig i stand til bedre at prioritere, planlægge og eksekvere en tidssvarende cybersikkerhedsstrategi.

12. november 2024 | Læs mere


Fremtidens digitale kraftværk: Tag styringen med dit ERP-system

I dag ligger moderne ERP-platforme i skyen og opdateres adskillige gange årligt. Samtidig får man nærmest pr. automatik adgang til en omfattende portefølje af integrationer, add-ons, 3. partsmoduler, BI og avancerede funktioner til AI/ML-understøttelse af forretningsprocesser. På denne dag går vi derfor i dybden med, hvad det betyder for din virksomhed. Uanset om I har migreret til en cloudbaseret platform eller planlægger at gøre det indenfor en overskuelig fremtid.

13. november 2024 | Læs mere