هشدار درباره آسیب‌پذیری iOS؛ احتمال دسترسی برنامه‌ها به عبارت بازیابی کیف پول
یک نقص در iOS می‌تواند دسترسی برنامه‌های مخرب به فایل‌های دیگر برنامه‌ها را ممکن کند؛ میزان خطر به شیوه ذخیره‌سازی کلیدها و نصب برنامه‌های ناشناس بستگی دارد.
نکات کلیدی
• آسیب‌پذیری worse_query می‌تواند از سد جداسازی برنامه‌های iOS عبور کند. • در صورت ذخیره‌شدن عبارت بازیابی یا کلیدها به‌صورت متن ساده، اطلاعات کیف پول ممکن است در معرض خطر باشد. • برای بهره‌برداری، کاربر باید برنامه‌ای نامطمئن را نصب و اجرا کند. • تا زمان انتشار خبر، سرقتی مرتبط با این نقص گزارش نشده بود.
هشدار درباره اطلاعات کیف پول
بایننس درباره نقصی در iOS هشدار داده که ممکن است به برنامه‌های مخرب اجازه دهد فایل‌های ذخیره‌شده در برنامه‌های دیگر را بخوانند؛ از جمله عبارت‌های بازیابی و کلیدهای خصوصی کیف پول. این نقص در سطح سیستم‌عامل است و به یک کیف پول یا سرویس خاص محدود نمی‌شود.
این آسیب‌پذیری که worse_query نام دارد، از جداسازی داده‌های برنامه‌ها عبور می‌کند؛ بااین‌حال، بهره‌برداری از آن مستلزم آن است که کاربر برنامه‌ای نامطمئن را نصب و اجرا کند. پژوهشگر منتشرکننده آن، ابزار را نمونه‌ای آزمایشی برای توسعه‌دهندگان توصیف کرده و گفته به‌تنهایی کاربردی ندارد.
۹ نوامبر
انتشار به‌روزرسانی اپل
۶.۳۴ میلیارد دلار
زیان حمله پیشین بایننس
۲۹ اکتبر
تاریخ حمله بایننس
میزان خطر و اقدامات پیشنهادی
خطر به شیوه نگهداری اطلاعات در کیف پول بستگی دارد. به گفته شرکت امنیتی SlowMist، اگر عبارت بازیابی یا کلیدها به‌صورت متن ساده روی گوشی ذخیره شوند، ممکن است در دسترس برنامه آلوده قرار گیرند؛ اما کیف پول‌های سخت‌افزاری کلید خصوصی را خارج از تلفن نگه می‌دارند.
بایننس توصیه کرده برنامه‌های نصب‌شده از منابع نامطمئن، از جمله فایل‌های IPA، حذف شوند و iOS و برنامه‌ها از نسخه‌های رسمی به‌روز باشند. در صورت احتمال نفوذ، دارایی‌ها به کیف پول تازه‌ای که روی دستگاهی پاک ساخته شده منتقل و نشست‌های ورود فعال بازنشانی شوند.
وضعیت به‌روزرسانی اپل
اپل در ۹ نوامبر نسخه‌های iOS ۲۷.۲.۱ و iOS ۲۶.۷.۳ را منتشر کرد، اما یادداشت‌های امنیتی آن‌ها به worse_query یا نقصی از این نوع اشاره نمی‌کنند؛ بنابراین مشخص نیست نسخه‌های تازه جلوی این روش را می‌گیرند یا نه.
تا زمان انتشار گزارش، نه بایننس و نه پژوهشگر نقص، سرقتی مرتبط با آن اعلام نکرده بودند.
چرا این خبر مهم است؟
این نقص می‌تواند امنیت کیف پول موبایلی را تحت‌تأثیر قرار دهد، به‌ویژه اگر اطلاعات بازیابی به شکل متن ساده ذخیره شده باشد. بااین‌حال، خطر گزارش‌شده به نصب برنامه نامطمئن وابسته است و سرقت مرتبطی اعلام نشده بود.
پرسش‌های پرتکرار
آیا این نقص به‌تنهایی دارایی را سرقت می‌کند؟
خیر؛ برای سوءاستفاده، برنامه نامطمئنی باید نصب و اجرا شود و اطلاعات حساس نیز روی دستگاه به شکل قابل‌خواندن ذخیره شده باشد.
آیا به‌روزرسانی‌های اپل این نقص را برطرف کرده‌اند؟
یادداشت‌های نسخه‌های منتشرشده در ۹ نوامبر نامی از worse_query نبرده‌اند؛ رفع‌شدن نقص مشخص نیست.
- #ارز دیجیتال
- #iOS
- #Wallet Security
- #BTC
- #Binance
این خبر بازنویسی فارسی گزارش منبع اصلی است و توصیه‌ی سرمایه‌گذاری نیست. پیش از هر تصمیم مالی، منبع اصلی را بررسی و ریسک خود را بسنجید.
