Vulnerabilidade permite acesso a fotos e localização no iOS

e no Android!!! No mercado tecnológico, a segurança é um tópico que sempre fará correr muita tinta nos meios de comunicação. É por essa razão que existe a responsabilidade dos principais gigante tecnológicos proteger os nossos dados.

A Apple tem adoptado um modelo rigoroso no que se refere aos padrões de segurança empregues no seu ecossistema. Mas, como o crescente mercado que tem conquistado, o assédio de malware também tem aumentado. Recentemente veio um novo problema pela mão de uma app.

A Apple, tem se encontrado nos últimos tempos sobre “fogo cerrado” após relatos de que alguns problemas de segurança da versão 5 do iOS entre os quais um que referimos aqui.

Mas, ter acesso ao livro de endereços e efectuar chamadas não são as únicas recursos dos quais um utilizador malicioso pode tirar partido na plataforma da Apple. Segundo alertas provenientes de programadores é também possível utilizar uma falha de segurança no iOS para aceder a todas as fotografias tiradas pelo iPhone/iPad

O processo funciona em termos genéricos da seguinte forma. Um utilizador é interrogado por uma aplicação para iPod Touch, iPhone ou iPod, se permite dar acesso a informações sobre a sua localização para fotos e vídeos. Posteriormente e apenas com estas permissões a aplicação pode tirar partido da referida vulnerabilidade e copiar a colecção inteira de fotos que o utilizador tiver, sem qualquer notificação ou erro.

Claro que o leitor pergunta de imediato aos seus botões, mas não existe a garantia que a Apple testa todas as aplicações antes de serem aceites na App Store, e esse processo rigoroso elimina aplicações maliciosas? Na grande maioria das vezes é verdade, contudo veio-se a saber nos últimos tempos que a própria Apple aprovou aplicações que se tornaram populares na App Store e que na realidade copiavam os contactos da agenda de todos os proprietários de dispositivos iOS. Não é por isso descabido pensar, que devido ao volume de aplicações na App Store, haja aplicações que estão a copiar ilicitamente fotos do utilizador.

Mas há mais, quando os dispositivos Apple gravam os ficheiros (fotos ou vídeos), o utilizador pode especificar se pretende armazenar as coordenadas do local em que foram tiradas, assim sendo parecem óbvias as complicações ao nível da segurança. Isto é, com toda esta informação é possível não só identificar o proprietário do dispositivo da Apple através das fotografias (como os seus amigos e familiares que tiverem nas fotos tiradas) mas também os seus hábitos referente aos locais que visita.

De modo a confirmar a existência desta falha de segurança o New York Times, pediu a um programador, que trabalha para uma software house que desenvolve aplicações populares para iOS, para criar uma aplicação de teste que tirasse partido deste falha de segurança e recolhesse não só fotos mas respectivas informações de localização a partir de um iPhone. Quando este aplicativo, que foi denominado de PhotoSpy, foi iniciado, pediu de imediato aos dados de localização. Uma vez que estas permissões foram concedidas, a aplicação estabeleceu uma ligação com um servidor remoto e enviou as fotos dos álbuns do iPhone bem como a respectiva informação de georeferenciação.

Esta vulnerabilidade levanta uma questão importante. A Apple orgulha-se de ter um processo de revisão de aplicações bastante rigoroso, mas será que é suficiente para proteger a sua plataforma?

Não queremos dizer com isso que o Android ou o Windows Phone 7 (por exemplo), estão melhores neste aspecto. Apenas neste caso é oportuno referir que a eficácia total aceitação de novas aplicações na App Store não é por si só suficiente para garantir a segurança da plataforma.

De tomar nota ainda é que na versão 5 do iOS estão-se a verificar mais vulnerabilidades do que a Apple nos tem habituado. Será fruto de um uso massificado da plataforma? Ou simplesmente o facto de os dispositivos da Apple serem cada vez mais uma galinha de ovos de ouro para entidades maliciosas? Talvez um pouco dos dois!

Não temos qualquer dúvida que este problema como tantos outros será resolvido pela Apple. Mas até lá o melhor é não activar o acesso a georeferenciação no iOS, e ter muito cuidado com aplicações que lhe pedirem esta permissão. Porque a última fronteira de segurança está à frente do ecrã do seu iPhone ou iPad. [via]

Update:

Depois da notícia sair da redacção, a mesma fonte lançou um artigo em que dá conta que o Android também sofre de uma vulnerabilidade semelhante. Ao que parece este sistema operativo guarda as fotografias numa directoria standard no sistema de ficheiros. Isto significa que qualquer aplicação consegue aceder por omissão a essas fotografias. Contudo, segundo um comunicado da Google, não se trata de uma falha de segurança mas uma consequência de uma decisão de design de sistema.

"Nós originalmente concebemos o sistema de ficheiros e a forma de armazenamento de imagens com base em outras plataformas como o Windows ou Mac Os. Na altura, as imagens eram armazenadas em cartões SD, de modo a tornar mais fácil a um utilizador remover o cartão SD e colocá-lo num computador para ver e transferir essas imagens.

À medida que os smartphones e tablets foram evoluindo, a dependência de armazenamento passou a ser ao nível de memória interna (não amovível). Estamos atentos ao problema e em adoptar uma abordagem diferente de modo a exigir às aplicações os privilégios adequados para aceder a imagens. A google frequentemente implementa políticas de remover qualquer aplicação do Android Market que aceda de forma imprópria aos seus dados"."