Ang hindi pag-encrypt ng Apple sa mail 7 ay masama, ngunit hindi isang kalamidad

Habang totoo na ang mga attachment ng email ay hindi naka-encrypt sa pinakabagong bersyon ng iOS 7, ang kalubhaan ng kapintasan ay hindi lilitaw na nakasisira tulad ng orihinal na iniulat.

Natuklasan ng security researcher na si Andreas Kurtz na ang mga kalakip ng mail na binuksan sa bundle ng Mobile Mail app sa iOS 7 na aparato ay hindi naka-encrypt, kahit na inaangkin ng Apple na ang mga file ay ligtas gamit ang teknolohiyang Data ng Proteksyon nito. Kasama sa mga apektadong bersyon ang iOS 7.0.4 at iOS 7.1, pati na rin ang pinakabagong, iOS 7.1.1, sumulat si Kurtz sa kanyang blog. Kinumpirma niya ang isyu sa isang iPhone 4, iPad2, at iPhone 5s.

"Napansin ko na ang mga attachment ng email sa loob ng iOS 7 MobileMail.app ay hindi protektado ng mga mekanismo ng proteksyon ng data ng Apple, " isinulat ni Kurtz, isang mananaliksik kasama ang NESO Labs.

Si Andrey Belenko, isang mananaliksik sa viaForensics ay nakumpirma ang kahinaan, ngunit nabanggit na habang ang ilang mga attachment ay hindi naka-encrypt, ang ibang mga file ng mail ay may ilang anyo ng proteksyon ng data. Ang pangunahing tindahan ng Mga mensahe ay naka-enable ang Data Protection, ngunit ang iba pang mga elemento ng mail, tulad ng Envelope Index at Recents, ay hindi, via Forensics natagpuan.

"Ang kapintasan ay sinusunod ngunit hindi sa buong mundo nakakaapekto sa lahat ng mga kalakip ng email, " viaForensics na nabanggit sa isang post sa blog.

Isang Flaw, Ngunit Gaano Matindi?

Ang katotohanan na ang mga attachment ay hindi naka-encrypt sa iOS ay maaaring magtaas ng ilang mga pulang bandila para sa mga korporasyon at pamahalaan na maaaring magkaroon ng mga empleyado na ma-access ang data na may kaugnayan sa trabaho sa kanilang mga mobile device. Ang mga negosyo ay dapat na lumipat sa iPhone 4 upang samantalahin ang "mas mataas na seguridad na ipinatupad sa mga iPhone 4s at pasulong, " sinabi ng viaForensics. Para sa mga mamimili, ang kabuluhan ng isyu ay bumabalot sa kung o isang magnanakaw ay nais na basahin ang mga kalakip ng email mula sa isang ninakaw na telepono.

Paalala, gayunpaman, na ang kahinaan ay hindi maaaring ma-trigger nang malayuan, at ang umaatake ay dapat magkaroon ng pisikal na pag-access sa aparato ng iOS upang ma-access ang mga hindi nai-file na file. Dapat ding malaman ng nang-aatake - o malaman - ang passcode ng aparato upang maipasa ang lock. Ang iba pang pagpipilian ay ang paggamit ng isang pamamaraan ng jailbreak na gumagana nang walang passcode upang maabot ang file system. Habang may mga tool sa jailbreak iPhone 4 at mas lumang mga handset nang walang isang passcode, sa kasalukuyan ay walang anumang mga jailbreaks para sa mga mas bagong aparato tulad ng mga iPhone 5 at iPad na maaaring lampasan ang passcode.

Iyon ay maraming mga hadlang sa kalsada na pinanatili ang mga umaatake sa malayo sa mga file. Nalalapat pa rin ang mga pangunahing kaalaman - gumamit ng isang passcode sa iyong telepono. Walang dahilan kung bakit dapat mong gawing madali para sa isang magnanakaw na kunin ang iyong telepono at makakuha ng access sa alinman sa iyong data.

Ayusin sa Way

Habang ipinagbigay-alam ni Kurtz ang Apple tungkol sa isyu, sinabi sa kanya ng kumpanya na alam nito ang isyu at nagtatrabaho na sa isang pag-aayos, na maihatid bilang isang "pag-update ng software sa hinaharap." Walang ibinigay na timeline.

"Isinasaalang-alang ang mahabang panahon ang iOS 7 ay magagamit na ngayon at ang pagiging sensitibo ng mga kalakip ng email na ibinabahagi ng maraming mga negosyo sa kanilang mga aparato (panimula na umaasa sa proteksyon ng data), inaasahan ko ang isang malapit na panahon na patch, " sumulat si Kurtz, noting ang isyu ay hindi pa rin naayos sa iOS 7.1.1, inilabas noong nakaraang buwan.

"Tulad ni Kurtz, nagulat kami na hindi ito naka-patched sa 7.1.1, " sumang-ayon sa pamamagitan ng Forensics, ngunit sinabi na ito ay malamang na isang pag-aayos ay nasa daan.