A Apple tem vindo a desenvolver algumas funcionalidades que são alternativas a outras já existentes no mercado. Um dos exemplos são os SMSs que embora possam ser usados pelos iPhones, a Apple desenvolveu o iMessage como alternativa ao sistema tradicional.
Na semana passada, o investigador que se apresentou com o nick pod2g, encontrou um bug grave que põe em causa a segurança dos dados presentes no iPhone. Segundo este, esta falha facilita o roubo de informações recorrendo a mensagens de texto.
Não é uma falha nova, aliás, segundo a empresa de segurança AdaptiveMobile esta falha é antiga, tem pelo menos 5 anos e apenas afecta os iPhones, mesmo o iPhones 4S com iOS 6 beta 4, pois a vulnerabilidade tira proveito do PDU (Protocol Data Unit) onde existe um cabeçalho opcional chamado de UDH (User Data Header). A vulnerabilidade consiste em enviar uma mensagem escrita de um número colocado no UDH. O UDH contém informações importantes, como é o caso do número do remetente e o número de resposta do SMS. O mal aqui é o iOS não exibir este número de resposta quando ele existe, mostrando somente o número de remetente. Se for colocado maliciosamente um número de resposta nesse campo, o utilizador não conseguirá saber e enviará uma mensagem para quem não quer.
A empresa de segurança AdaptiveMobile fez vários testes de envio de SMS, onde testou a mesma situação com smartphones com Android, Windows Mobile, BlackBerry e Symbian… alterou o número de resposta no cabeçalho de SMS ao qual não afectou nesses sistemas operativos o destino do SMS. Esse comportamento, segundo a empresa, tem a ver com a política desses mesmos sistemas, uma vez que eles simplesmente ignoram a existência do cabeçalho Reply-Address e enviam a mensagem de resposta para o número que aparece no ecrã. Desta forma não permitem que o utilizador seja enganado, enviando a mensagem para o número de remetente apenas.
A Apple foi lacónica na sua resposta e deu uma alternativa que a Engadget transcreveu:
Apple takes security very seriously. When using iMessage instead of SMS, addresses are verified which protects against these kinds of spoofing attacks. One of the limitations of SMS is that it allows messages to be sent with spoofed addresses to any phone, so we urge customers to be extremely careful if they’re directed to an unknown website or address over SMS.
Ok. Todos sabemos que a Apple leva a segurança muito a sério, mas nem todos os intervenientes podem usar o iMessage. Claro que o operador GSM deveria verificar este canal, já que é quem “cobra” pelo serviço, no entanto os smartphones podem “acautelar” algumas destas manobras.
O iMessage protege o utilizador já que o sistema verifica os endereços, não permitindo que sejam usados métodos maliciosos e é esta a mensagem que o porta-voz da empresa de Cupertino quis passar. Também ficou implícito que nunca deve passar informações sensíveis via SMS e que os serviços bancários não deveriam ser transitados por este meio, mas se o tiver de fazer, certifique-se que o faz para números fidedignos.
Não ficou, contudo, claro que esta falha não seja também usada noutros sistemas operativos, apenas não foi conseguida numa tentativa por parte da empresa, por isso mesmo noutros sistemas operativos, seja cuidadoso com o que envia via SMS. [via]