iPhone gehackt? Password aanpassen niet altijd voldoende!

[ℜuben]

Omdat het hacken van de iPhone nu weer even in het nieuws is en ik al in verschillende topics rond dat onderwerp dezelfde reactie heb geschreven open ik hierbij even een apart topic met een duidelijke waarschuwing die ik op andere sites nog niet aan bod heb zien komen.

Wanneer je iPhone gehackt is heeft de hacker zich toegang tot je telefoon weten te verschaffen doordat het wachtwoord bekend was. Zodra iemand toegang heeft tot een UNIX systeem (zoals je iPhone) kan deze gebruiker feitelijk op het systeem bijna alles doen alsof hij het systeem zelf in handen heeft.

Een van de mooie (maar gevaarlijke) mogelijkheden van UNIX is om een SSH verbinding tussen twee machines op te zetten middels een zogenaamde public en private keypair, een methode die ik zelf in mijn vorige baan veel gebruikte om (in opdracht) een systeem van de klant te hacken om de beveiliging te testen. Door deze methode wordt de client met de private key een vertrouwde machine voor de server met de public key, waarmee er GEEN WACHTWOORD MEER NODIG IS om een verbinding tussen beide apparaten op te zetten. Dit betekend dus dat het aanpassen van het (bekende) wachtwoord in iets anders vanaf dat moment niet voldoende meer is om toegang tot de server (in dit geval je iPhone) tegen te houden vanaf de client waar de "trust" eenmaal mee gemaakt is!

Omdat ik ook schoften als scriptkiddy "PureInfinity" niet op betere ideeën wil brengen laat ik verder achterwege uit te leggen hoe je zo'n trust kunt maken.

Is je iPhone gehackt en wil je zeker weten dat er ook geen public key op geplaats is? Kijk dan via SSH of SFTP of er een folder .ssh in de root van je iPhone aanwezig is (deze is er standaard NIET) en of daar een bestand authorized_keys in staat. Zo ja, dan is het sterk aan te raden dit bestand (of de hele folder) te wissen!

Zoals ik al schreef zijn deze folder en dit bestand standaard niet aanwezig op de iPhone, maar ik weet eerlijk gezegd niet of er misschien apps zijn die ook gebruik maken van deze methode om bijvoorbeeld een iPhone app met een desktop tool te syncen. Het hele idee van de trust via keypairs is oorspronkelijk namelijk bedoelt om scripts en andere geautomatiseerde processen toegang via SSH te geven zonder dat de tussenkomst van een gebruiker vereist is om een wachtwoord in te voeren.

---

Laatst gewijzigd door iScorpio; 05-11-09 om 21:20. Reden: Graag geen moderatoren vals 'beschuldigen'. Tekst aangepast.

[WDS001]

 Verplaatst naar: Tips (en tweaks)