iPhonesta löytyi paha tietoturva-aukko (iOS 4.1)

[Marbo]

Lainaus macmaan sivuilta. http://macmaa.com/2010/10/26/iphonesta- ... rva-aukko/

iPhonen uusimmasta 4.1-ohjelmistosta on löytynyt paha tietoturva-aukko, jonka kautta pääsee tutkimaan käyttäjätietoja, vaikka puhelimessa käytettäisiin pääsykoodia. Aukko on erittäin paha, sillä tietomurtoon ei tarvita minkäänlaista ohjelmaa, ainoastaan pääsy puhelimeen.
iPhonen pääsykoodin voi ohittaa helposti painamalla hätäpuhelua ja kirjoittamalla minkä tahansa numeron. Tämän jälkeen painetaan soita-nappia ja lähes samanaikaisesti virtanäppäintä. Tämän jälkeen pääsee käsiksi iPhonen puhelinosaan, josta löytyvät muun muassa yhteystiedot ja soittohistoria. Numeroihin voi myös soittaa. Yhteystietojen kautta pääsee puolestaan käsiksi puhelimessa oleviin kuviin, mutta muihin puhelimen osiin aukon kautta ei ilmeisesti pääse.

EDIT: Kokeilin tuota ja kyllähän se noin toimi.

[NeliX4]

Uiui. Nyt jeesuspuhelinten ostaja-fanipojille kävi ihan oikein. Paskan möivät.

[Mailia]

Hah, olen voittanut jättämällä salasanan kokonaan pois.

[Nuvi]

Näyttää tuo aukko "toimivan". Sinällään ei pahemmin liikauta kun en käytä kyseistä toimintoa. Sääli, että luurissa ei ole valintaa joka suojaisi yhdellä PIN:llä SIM:n ja luurin. Ärsyttäväähän tuon luurin salasanan käyttö olisi kun joutuu naputtelemaan sisään vähintään neljän tunnin välein.

[musamäkki]

Uiui. Nyt jeesuspuhelinten ostaja-fanipojille kävi ihan oikein. kakka möivät.

Ja ikää sulla oli..?

[Justin Case]

Täysin tarpeeton uutinen kun kukaan ei pidä mitään salasanoja käytössä jos puhelin on päällä. Mobile Me on sitä varten että voi tyhjätä luurin jos se häviää.

[Pis]

Ajattelin ilmoittautua pääsykoodin käyttäjänä. Voihan olla että olen ainoa, mutta se että kukaan ei käyttäisi ei nyt todistetusti pidä paikkaansa.

[Marbo]

Täysin tarpeeton uutinen kun kukaan ei pidä mitään salasanoja käytössä jos puhelin on päällä. Mobile Me on sitä varten että voi tyhjätä luurin jos se häviää.

Eikö? Kaikilla ei ole edes kiinnostusta ostaa MobileMe:tä. Esim minulla.

Ajattelin ilmoittautua pääsykoodin käyttäjänä. Voihan olla että olen ainoa, mutta se että kukaan ei käyttäisi ei nyt todistetusti pidä paikkaansa.

Myös minä käytän pääsykoodia.

[aritko]

Täysin tarpeeton uutinen kun kukaan ei pidä mitään salasanoja käytössä jos puhelin on päällä.

Tulipas täyslaidallinen sitä itseään. Jos SINÄ et pidä puhelimen lukitusta päällä, niin se ei meinaa sitä ettei kukaan niin tekisi.

Nopea kysely lähipiiristä;

7 iluuria > 5:ssä lukitus päällä...

EDIT: Hidas...

[spiidi78]

Hahah. Aika hyvä moka kyllä....

[Justin Case]

Hahah. Aika hyvä moka kyllä....

Niin on. Näkyy monella olevan toimimaton pääsykoodi käytössä.
Kun ei käytä pääsykoodia niin ei voi kärsiä tuosta ominaisuudesta.

[Nuvi]

Täysin tarpeeton uutinen kun kukaan ei pidä mitään salasanoja käytössä jos puhelin on päällä. Mobile Me on sitä varten että voi tyhjätä luurin jos se häviää.

Jos et sattumalta ole huomannut maailma ei ihan vielä rotaatoi oman napasi ympärillä. Kannattaa pyyhkiä ne omppu lasit liiallisista höyryistä, ettei realimaailma ja oman universumin raja pääse ihan täysin hämärtymään.

Kun tuotteessa on turvallisuusaukko, jota käyttämällä voi aiheuttaa merkittävää taloudellista haittaa on mielestäni tällaista seikkaa käsittelevä uutinen merkittävä. Itse asiassa mikäli uutisia pitäisi arvioida pelkästään journalististen meriittien perusteella on tämänkaltainen uutinen aivan hemmetin paljon tärkeämpi kuin jonkun Apple:n PR tiedotteen vatvominen.

[babam]

Tämä lukituksen pitäminen päällä ei ole edes aina käyttäjästä kiinni. Jos puhelimeen on konffattu yrityksen Exchange tili ja Exchangessa on Activesync profiiliin laitettu lukitus pakolliseksi niin sitäpä ei puhelimesta saa pois muuten kuin poistamalla Exchange tili puhelimesta.

[Justin Case]

Tuo pakollinen Active Sync lukitus on kyllä turha. Mutta tässä lisää asiasta.

http://forums.macrumors.com/showthread.php?t=1035879

Sen verran kommentoin että jos kyseessä olisi joku rantarolex HTC niin edes mainintaa missään ei koskaan olisi koko asiasta.

[aritko]

Tuo pakollinen Active Sync lukitus on kyllä turha.

Ja uudestaan samaa *askaa. Perustele, esim. yrityksen tietoturvan kannalta, miksi tuo lukitus on turha?

[Sherukka]

Mikä tuossa teki tuosta bugista "pahan"? Soittamaan pääsee mutta pääseekö muuten mihinkään tietoon joka olisi yrityksen kannalta salaista?

Itse olen sitä mieltä että yritysten tietoturva asioita liioitellaan, heikoin lenkki on aina työntekijä.

[Kaivuri]

Mikä tuossa teki tuosta bugista "pahan"? Soittamaan pääsee mutta pääseekö muuten mihinkään tietoon joka olisi yrityksen kannalta salaista?

Yhteystiedot, kuvat ja sähköpostit? Kyllä noista aika paljon yrityssalaisuuksia löytyy.

[Muffe]

Mikä tuossa teki tuosta bugista "pahan"? Soittamaan pääsee mutta pääseekö muuten mihinkään tietoon joka olisi yrityksen kannalta salaista?

Yhteystiedot, kuvat ja sähköpostit? Kyllä noista aika paljon yrityssalaisuuksia löytyy.

Sähköposteihin ei pääse.

[ruis12]

Eikös tää oo melkein sama tilanne mikä korjattiin jo joskus aikaa sitten. Silloinhan pääsi puhelutietoihin tekemällä "hätäpuhelun" ja painamalla punaista luuria (tai jotain sinnepäin), eli ei tarvittu tuota virtanappulan painamista.

[Kaivuri]

Mikä tuossa teki tuosta bugista "pahan"? Soittamaan pääsee mutta pääseekö muuten mihinkään tietoon joka olisi yrityksen kannalta salaista?

Yhteystiedot, kuvat ja sähköpostit? Kyllä noista aika paljon yrityssalaisuuksia löytyy.

Sähköposteihin ei pääse.

Totta, sähköposteja pysty vaan lähettämään. Silläkin voi toki saada vahinkoa aikaan.

[Mailia]

Onko Hompussa ollut koskaan kyselyä, jossa selvitettiin kuinka moni edes käyttää tuota salasanaa puhelimessaan?

[Muffe]

Mikä tuossa teki tuosta bugista "pahan"? Soittamaan pääsee mutta pääseekö muuten mihinkään tietoon joka olisi yrityksen kannalta salaista?

Yhteystiedot, kuvat ja sähköpostit? Kyllä noista aika paljon yrityssalaisuuksia löytyy.

Sähköposteihin ei pääse.

Totta, sähköposteja pysty vaan lähettämään. Silläkin voi toki saada vahinkoa aikaan.

Ei pysty sitäkään. Eikä tekstiviestejä. Ainoastaan normaalit puhelut onnistuvat.

[Kaivuri]

Ei pysty sitäkään. Eikä tekstiviestejä. Ainoastaan normaalit puhelut onnistuvat.

Kyllä itsellä ainakin lähtee tekstiviestit ja sähköpostit eteenpäin kun menee "Share Contact" kohdan kautta MMS:n tai sähköpostin lähetykseen.

[Panda.]

Ei pysty sitäkään. Eikä tekstiviestejä. Ainoastaan normaalit puhelut onnistuvat.

Kyllä itsellä ainakin lähtee tekstiviestit ja sähköpostit eteenpäin kun menee "Share Contact" kohdan kautta MMS:n tai sähköpostin lähetykseen.

Ja kuvakirjastoon pääsee käsiksi, kun muokkaa jotain kontaktia ja valitsee sille sen pikkukuvan.

[kallekilponen]

Saapa nähdä kauanko kestää, että Apple puskee tietoturvapäivityksen ulos.