Контакты
Подписка 2024
ITSEC 2024
Персональные данные в 2025 году: новые требования и инструменты. 16 октября, Москва, Форум ITSEC 2024
Регистрируйтесь и приходите!

URL схемы в iOS позволяют получить доступ к аккаунтам пользователей

18/07/19

hack31-2Исследователи из Trend Micro продемонстрировали новый метод атаки, с помощью которого вредоносное приложение, установленное на iOS-устройстве, может получить доступ к важной информации в другом приложении, эксплуатируя некоторые реализации пользовательских схем URL.

По умолчанию в iOS каждое приложение работает в своей «песочнице» для предотвращения доступа установленных на устройстве приложений к данным друг друга. Однако Apple предлагает несколько методов, позволяющих приложениям обмениваться ограниченным объемом информации. Один из таких механизмов – URL схема (Deep Linking), благодаря которой разработчики могут реализовать в своих приложениях возможность запуска через URL, например, facetime://, whatsapp:// или fb-messenger://.

К примеру, при нажатии на опцию «Вход через Facebook» в приложении для электронной коммерции вход в Facebook будет произведен автоматически (приложение задействует URL схему для Facebook и передает контекстную информацию, требуемую для авторизации).

Как обнаружили исследователи, Apple не определяет точно, какие ключевые слова приложения могут использовать для своих URL схем, то есть, несколько программ могут использовать одну и ту же схему, что может привести к отправке данных совершенно другому приложению.

Эксперты проиллюстрировали атаку на примере приложения китайского ретейлера Suning и реализованной в нем функции «Вход через WeChat». При авторизации в учетной записи Suning через WeChat генерируется запрос на авторизацию, который отправляется приложению WeChat, установленному на устройстве. Далее WeChat запрашивает секретный токен и отправляет его приложению Suning для авторизации. Поскольку Suning использует один и тот же запрос на авторизацию, а WeChat не проверяет источник запроса, данная реализация уязвима к так называемой атаке app-in-the-middle (приложение посередине) через URL схему, что может позволить злоумышленникам получить доступ к пользовательским учетным записям.

Таким образом вредоносное приложение, использующее ту же URL схему, что и целевая программа, может получить доступ к важным данным других приложений или выполнить различные вредоносные действия.

Поскольку возможность эксплуатации данной уязвимости связана с реализацией URL схем, специалисты рекомендуют разработчикам приложений внедрить механизмы проверки недоверенных запросов.

Темы:iOSУгрозыURL
Безопасная разработка
Москва | 15 октября 2024 | Доверенные решения для защиты российских ОС на базе Linux и миграции
Регистрируйтесь и приходите на Форум ITSEC 2024
Статьи по темеСтатьи по теме

Участвуйте в проектах

редакции журнала
"Информационная безопасность" 

КАЛЕНДАРЬ МЕРОПРИЯТИЙ 2024
ПОСЕТИТЬ МЕРОПРИЯТИЯ
ВЫСТУПИТЬ НА КОНФЕРЕНЦИЯХ
СТАТЬ АВТОРОМ
SOAR, IRP, SOC
Защита АСУ ТП и КИИ: готовимся к 2025 году
Обсуждаем на ITSEC 2024!

Еще темы...

More...