当前位置:主页>资 讯>安全动态>

不升级是对的:最新iOS 10存在密码验证漏洞


 

  苹果最新iOS 10系统版本包含有缺陷的密码验证机制,这严重影响该移动操作系统的安全性。

  网络取证公司Elcomsoft披露iOS的密码验证系统存在“重大安全漏洞”,这可能破坏本地备份的保护,并让攻击者对用户登录凭证进行暴力破解成功的几率增加40倍。

  新的密码验证机制是对旧机制的补充,旧机制目前仍然安全。然而,新机制允许Elcomsoft公司向其移动设备取证产品执行攻击。该攻击可用于解密本地备份,其中包括钥匙串数据。其结果是,攻击者可利用这个iOS漏洞获取密码和身份验证令牌,以及信用卡信息以及任何其他应用卡分发者认为敏感且要求在钥匙串加密的数据。

  “我们发现iOS 10备份保护机制存在严重安全漏洞,这个安全漏洞让我们可开发新的攻击,帮助我们在破解保护iOS 10设备的本地(iTunes)备份的密码时绕过本地安全检查,”Elcomsoft公司安全研究人员Oleg Afonin称,“这种安全漏洞的影响非常严重,与对iOS 9备份完全优化的GPU辅助攻击相比,这种攻击(Elcomsoft Phone Breaker 6.10中提供)早期仅CPU部署就可实现40倍性能提升。”

  虽然苹果已经意识到这个漏洞,但似乎该漏洞没有出现在苹果的新漏洞赏金计划中,该计划专门用于发现iOS漏洞中。

  “我们注意到当备份iOS 10设备到Mac或PC的iTunes时,一个漏洞影响着备份的加密强度,我们正在解决这个问题,并将发布在即将推出的更新中,”Apple发言人称,“这并不会影响icloud备份,我们建议用户确保其Mac或PC使用强大的密码保护,并只能由授权用户访问。FileVault全磁盘加密也可提供额外的保护。”

  当Elcomsoft更新其Phone Breaker产品来支持iOS 10时,他们发现替代密码验证机制被添加到iOS备份。

  “我们调查了一下发现,新机制会跳过某些安全检查,与iOS 9或更旧版本中使用的机制相比,新机制让我们可以2500倍更快的速度尝试密码,”Afonin称,“这个新的攻击向量专门针对iOS 10设备生成的受密码保护的本地备份。攻击本身只可用于iOS备份。有趣的是,‘新’的密码验证方法与‘旧’的方法并存,这意味着将继续保持此前的慢速度运行。”

  PasswordsCon公司创始人Per Thorsheim想知道苹果公司是否故意部署这个新机制。

  “苹果已经审核过很多iOS 10测试版,这并不像是纯粹的错误,”他表示,“苹果需要回答的问题是,这种对安全性和隐私性的广泛削弱是否是故意的,这是愚蠢的错误还是因为加密/开发人员的失误?”


(责任编辑:宋编辑)

分享到:

更多
发表评论
请自觉遵守互联网相关的政策法规,严禁发布色情、暴力、反动的言论。
评价:
表情:
  • 微笑/wx
  • 撇嘴/pz
  • 抓狂/zk
  • 流汗/lh
  • 大兵/db
  • 奋斗/fd
  • 疑问/yw
  • 晕/y
  • 偷笑/wx
  • 可爱/ka
  • 傲慢/am
  • 惊恐/jk
用户名: 验证码:点击我更换图片
资料下载专区
图文资讯

CNNIC:96%手机网民曾遭遇信息安全事件

CNNIC:96%手机网民曾遭遇信息安全事件

近日,中国互联网络信息中心(CNNIC)发布《2015年中国手机网民网络安全状况报告》显示...[详细]

不升级是对的:最新iOS 10存在密码验证漏洞

不升级是对的:最新iOS 10存在密码验证漏洞

苹果最新iOS 10系统版本包含有缺陷的密码验证机制,这严重影响该移动操作系统的安全性...[详细]

国际原子能机构:核电站正成为网络攻击的新

国际原子能机构:核电站正成为网络攻击的新目标

国际原子能机构总干事 北京时间10月11日消息,据外媒报道,国际原子能机构表示,三年...[详细]

关于Tomcat本地提权漏洞情况的通报

关于Tomcat本地提权漏洞情况的通报

近日,互联网上披露了关于Tomcat启动脚本存在本地提权漏洞(CNNVD-201609-410)的情况。...[详细]

玩出C&C服务器地址隐身的新花样,看看

玩出C&C服务器地址隐身的新花样,看看这个恶意软件怎么做的

恶意软件叫做CONFUCIUS(孔夫子),它就没有使用以上这两种方法。研究人员表示,他们没...[详细]

返回首页 返回顶部