Murretut iPhonet turvattomia?

[mikaha]

http://www.tietokone.fi/uutiset/omistaj ... okkaajille

Tuo uutinen oli Tietokonelehdessä. Hollannissa tullut ilmi tapauksia joissa ssh:n kautta on lähetelty uhkailuviestejä iPhonen käyttäjille ja kiristetty rahaa. Jutun perusteella näyttää, että juuri tuossa tapauksessa/tapauksissa on ollut kyse käyttäjän huolimattomuudesta eli jätetty ssh softaan oletus salasana, jota hyökkääjä hyödynsi. Mutta mitä tykkäätte, liittyykö iPhonen murtamiseen oikeita riskejä? luulen, että jokainen joka puhelintaan peukaloi asiaa pohtii (itse ainakin miettisin).

Toisaalta iPhonen murtaminen on sellaista kansan huvia nykyisin, että oli vain ajan kysymys että tällaisia uutisia alkaa ilmestymään.

[Rutku]

Eikö tuossakin ole kyse siitä, että puhelimen käyttäjät ovat huolimattomia, eli itse se murrettu puhelin ei ole turvaton vaan sen käyttäjä vaan on laiska/evottaa . P.S. Eihän puhelimeen pääse käsiksi SSH:lla jos ei ole mitään (SSH-)softaa?

[Nurffe]

Mjoo.. Joku asentanu breikannu luurin ja asentanut kaikki tarpeelliset härpäkkeet puhelimeen eikä vaihtanut sitten ssh:n passua. Silkkaa käyttäjän huolimattomuutta / tietämättömyyttä eli ei mitään nähtävää, hajaantukaa! 8)

[Erño]

No autetaanko tietämättömiä sevverta, että annetaan ohjeet root-passun vaihtoon?

1. Mobile terminal
2. kirjoita "su" ja anna salasana (oletuksena "alpine")
3. vaihda salasana komennolla "passwd". Mobile terminal pyytää kirjoittamaan uuden salasanan ja vahvistamaan sen.
4. all done!

[Darkker]

Varmaan kannattaa myös sen normaalin käyttäjän eli mobilen passu vaihtaa passwd:lla.

Turvattomuutta murretussa luurissa lisää varmaan se, että käsittääkseni siihen voi esim asentaa mitä tahansa siinä toimivaa softaa. Ei vaadita mitään allekirjoituksia tai vastaavia. Sitten ne softat voi tehdä siellä ihan mitä lystää. Näin siis käsittäisin tilanteen olevan. Esimerkkitapaus voisi olla vaikkapa joku hämärä mms tai webbisivu, joka saa luurin lataamaan jostain jonkun softan ja asentumaan sen puhelimeen.

[mikaha]

Varmaan kannattaa myös sen normaalin käyttäjän eli mobilen passu vaihtaa passwd:lla.

Turvattomuutta murretussa luurissa lisää varmaan se, että käsittääkseni siihen voi esim asentaa mitä tahansa siinä toimivaa softaa. Ei vaadita mitään allekirjoituksia tai vastaavia. Sitten ne softat voi tehdä siellä ihan mitä lystää. Näin siis käsittäisin tilanteen olevan. Esimerkkitapaus voisi olla vaikkapa joku hämärä mms tai webbisivu, joka saa luurin lataamaan jostain jonkun softan ja asentumaan sen puhelimeen.

No juu, tuota villiä softa-asenteluun liittyviä riskejä itse mietin ja tavallaanhan tuo esimerkkitapauskin liittyi sellaiseen. Käsittääkseni murrettujen puhelimien ohjelmistoasennuksia valvoo cyndia niminen järjestö. Huolehtiiko cyndia niiden ohjelmien viruksettomuudesta ja turvallisuudesta, vai tapahtuuko valvonta käyttäjien keskinäisen viestinnän avulla? olen ollut siinä käsityksessä, että puhelimen murtaminen (en tarkoita operaattorilukitusta joka liene monelle välttämätön murrettava) tekee iPhonesta windowsin, kun puhelimen eräs keskeisimmistä turvaominaisuuksista rikotaan.

Voiko muuten operaattorilukon murtaa iPhonesta ilman, että murtaa ohjelmistojen asennukseen liittyviä estoja?

Näistä mahdollisista turvariskeistä täällä ei koskaan oikein puhuta, niin eikö niitä ole, vai eikö niistä vain tiedetä? itsekin harkitsin hetken puhelimen ohjelmistojen murtamista edellisen käyttisversion aikana, mutta 3.0 käyttis korjasi kaikki puhelimen puutteet niin enää se murtaminen ei omalla kohdalla kiinnosta, mutta turvallisuus siihen liittyen kiinnostaa kuitenkin.

[inf]

Varmaan kannattaa myös sen normaalin käyttäjän eli mobilen passu vaihtaa passwd:lla.

Turvattomuutta murretussa luurissa lisää varmaan se, että käsittääkseni siihen voi esim asentaa mitä tahansa siinä toimivaa softaa. Ei vaadita mitään allekirjoituksia tai vastaavia. Sitten ne softat voi tehdä siellä ihan mitä lystää. Näin siis käsittäisin tilanteen olevan. Esimerkkitapaus voisi olla vaikkapa joku hämärä mms tai webbisivu, joka saa luurin lataamaan jostain jonkun softan ja asentumaan sen puhelimeen.

No juu, tuota villiä softa-asenteluun liittyviä riskejä itse mietin ja tavallaanhan tuo esimerkkitapauskin liittyi sellaiseen. Käsittääkseni murrettujen puhelimien ohjelmistoasennuksia valvoo cyndia niminen järjestö. Huolehtiiko cyndia niiden ohjelmien viruksettomuudesta ja turvallisuudesta, vai tapahtuuko valvonta käyttäjien keskinäisen viestinnän avulla? olen ollut siinä käsityksessä, että puhelimen murtaminen (en tarkoita operaattorilukitusta joka liene monelle välttämätön murrettava) tekee iPhonesta windowsin, kun puhelimen eräs keskeisimmistä turvaominaisuuksista rikotaan.

Voiko muuten operaattorilukon murtaa iPhonesta ilman, että murtaa ohjelmistojen asennukseen liittyviä estoja?

Näistä mahdollisista turvariskeistä täällä ei koskaan oikein puhuta, niin eikö niitä ole, vai eikö niistä vain tiedetä? itsekin harkitsin hetken puhelimen ohjelmistojen murtamista edellisen käyttisversion aikana, mutta 3.0 käyttis korjasi kaikki puhelimen puutteet niin enää se murtaminen ei omalla kohdalla kiinnosta, mutta turvallisuus siihen liittyen kiinnostaa kuitenkin.

Ei ole mitään järjestöä. Softaa voidaan ladata esim Cydia:n kautta, mutta Cydia ei millään tavalla tarkasta ohjelmistoja, se on vaan käyttöliittymä käyttäjien tekemille ohjelmistovarastoille (kutsutaan nimellä repository). Lähinnä asentelu jää käyttäjien vastuulle.

[legace]

Voiko muuten operaattorilukon murtaa iPhonesta ilman, että murtaa ohjelmistojen asennukseen liittyviä estoja?

Näistä mahdollisista turvariskeistä täällä ei koskaan oikein puhuta, niin eikö niitä ole, vai eikö niistä vain tiedetä? itsekin harkitsin hetken puhelimen ohjelmistojen murtamista edellisen käyttisversion aikana, mutta 3.0 käyttis korjasi kaikki puhelimen puutteet niin enää se murtaminen ei omalla kohdalla kiinnosta, mutta turvallisuus siihen liittyen kiinnostaa kuitenkin.

Ei voi murtaa.

Siis Cydiassa oletuksena olevat repot ovat luultavasti aika turvallisia. Eihän sinne noin vain lisätä tavaraa, vaan joku kolmas osapuoli tekee sen (?). Ja jos jotain häikkää on, niin eiköhän se tuli ilmi aika nopeasti.

[EL5]

Siis Cydiassa oletuksena olevat repot ovat luultavasti aika turvallisia. Eihän sinne noin vain lisätä tavaraa, vaan joku kolmas osapuoli tekee sen (?). Ja jos jotain häikkää on, niin eiköhän se tuli ilmi aika nopeasti.

Sinansa virheellinen olettama, vaikkakin toimii ehka nykyisen heti-nyt-mulle-kaikki-sukupolven kanssa. Vanha jekku on jattaa ansa muhimaan riittavan pitkaksi aikaa..
Monet App-storen kieltolistan asiat vaikuttavat suoraan turvallisuuteen: ei moniajoa, sovellukset eivat voi suorittaa ulkopuolista koodia etc.

[macister]

Sinällään ihan hyvä asia tuo hollantilaisuutinen, notta murtoihin taipuvaiset pysyvät varpaillaan.

[kamina]

Siis ymmärsinkö oikein että kun puhelin jailbreakataan siinä ei vielä ole ssh-clienttiä kuuntelemassa maailmalle? Ja sitten kun se ssh-client asennetaan niin oletuksena salasana on tuo alpine, ja rootin kirjautuminen sallittu?

[kermit]

Siis ymmärsinkö oikein että kun puhelin jailbreakataan siinä ei vielä ole ssh-clienttiä kuuntelemassa maailmalle? Ja sitten kun se ssh-client asennetaan niin oletuksena salasana on tuo alpine, ja rootin kirjautuminen sallittu?

Meinaat varmaankin ssh-serveriä...

[legace]

Siis ymmärsinkö oikein että kun puhelin jailbreakataan siinä ei vielä ole ssh-clienttiä kuuntelemassa maailmalle? Ja sitten kun se ssh-client asennetaan niin oletuksena salasana on tuo alpine, ja rootin kirjautuminen sallittu?

Nimenomaan näin. Ainakin blackra1nillä.

[inf]

Tässä tulee muistaa se, että tuo "reikä" vaatii sen että käyttäjä itse on ensin asentanut OpenSSH -sovelluksen (ssh-serveri) ja unohtanut vaihtaa nuo käyttäjätunnusten salasanat.

Jailbreakatussa luurissa ei siis valmiiksi ole SSH-serveriä päällä, ellei sitä itse Cydiasta asenna.

[Erño]

Useimmat taitta tehdä JB:n SSH:n takia. Jotkut cydian ohjelmat saattavat myös asentaa OpenSSH:n jonkun paketin mukana. Kannattaa olla tarkkana.

[legace]

Useimmat taitta tehdä JB:n SSH:n takia. Jotkut cydian ohjelmat saattavat myös asentaa OpenSSH:n jonkun paketin mukana. Kannattaa olla tarkkana.

OT: Öö... SSH:n takia?

[Erño]

Useimmat taitta tehdä JB:n SSH:n takia. Jotkut cydian ohjelmat saattavat myös asentaa OpenSSH:n jonkun paketin mukana. Kannattaa olla tarkkana.

OT: Öö... SSH:n takia?

Siitä on vaan niin pirusti hyötyä. Teemat ja muut customoinnit, SSH, backgrounder ja mobile terminal.... mitä muuta tarvii?

[tuomas92]

Useimmat taitta tehdä JB:n SSH:n takia. Jotkut cydian ohjelmat saattavat myös asentaa OpenSSH:n jonkun paketin mukana. Kannattaa olla tarkkana.

OT: Öö... SSH:n takia?

Siitä on vaan niin pirusti hyötyä. Teemat ja muut customoinnit, SSH, backgrounder ja mobile terminal.... mitä muuta tarvii?

Mutta nuo teemat ja kaikki saa kyllä ilman SSH:takin. (ja todetaan vielä että mulla on JB puhtaasti siksi että tuo laite yleensäkään toimii - mitään muuta hyötyä siitä ei ole ollut. Teemoja yms on tullut kokeiltua mutta tuntui niin turhalta.)

[Erño]

En väittänytkään, että SSH olisi pakollinen, vaan yksi yleisimmistä syistä breikata puhelin. Ja toimiihan se puhelin ilman JB:ta, mutta vain surinan p@skalla liitytmällä.

Onneksi on blacksn0w!

[legace]

En väittänytkään, että SSH olisi pakollinen, vaan yksi yleisimmistä syistä breikata puhelin. Ja toimiihan se puhelin ilman JB:ta, mutta vain surinan p@skalla liitytmällä.

Onneksi on blacksn0w!

Mihin SSH:ta tarvitsee, kun iPhoneBrowser/DiskAid ajaa saman asian paremmin?

Ja noitakaan tarvitse. Valtava (joista useimmat törkeän rumia) määrä teemoja sekä ohjelmia löytyy suoraan Cydiasta. SSH:ta tai MobileTerminalia (joita en toki paheksu. Terminalista on paljon hyötyä, mutta ei oikein innosta naputella komentoja tästä. Ubuntussa onnistuu paremmin) en ole tatvinnut kertaakaan, sillä kaikki onnistuu vallan mainiosti Cydiasta ja iPhoneBrowserista.

[Erño]

Nää on kait näitä mielipideasioita™. Itse suosin mielummin cyberduckia, kuin iPB:ta.

[macister]

http://macmaa.com/2009/11/09/ensimmaine ... #more-8024

[Nurffe]

http://macmaa.com/2009/11/09/ensimmaine ... #more-8024

reps

[jomppa]

http://macmaa.com/2009/11/09/ensimmaine ... #more-8024

Kauankohan kestää, että joku JB-puhelimeen asennettu softa päättää kuluttaa puhelimen akun loppuun lähetellen maksullisia tekstiviestejä jonnekin sopivan kaukaiseen paikkaan? SSH-salasanaa hyödyntävät pilailusoftat ovat pientä sen rinnalla, mitä nuo ohjelmat oikeasti voivat saada aikaan. Vaikka ajavathan jotkut tietokonettaankin admin-tunnuksella asennellen samalla kaikkea vastaantulevaa roskaa - ihan vain huvin vuoksi.

[macister]

Tarkoitus ei todellakaan ole hurrata sille, että joku hyödyntää jb yms. aukkoja, vaan kehoittaa murrettujen luurien kanssa palloilevia olemaan varpaillaan murtokoodeihin ujutettujen 'takaporttien' varalta.