Izmeklēšana, ko veica Talal Haj Bakry un Tomijs Mysk ir atklājis, ka ar atpakaļejošu spēku saderīgs HTTP atbalsts operētājsistēmās iOS un Android ļauj pārtvert un mainīt datus no tādām populārām lietotnēm kā TikTok.
Lai gan lielākā daļa lietotņu ir pārgājušas uz HTTPS, pētījums atklāja, ka TikTok operētājsistēmās iOS un Android joprojām izmanto nešifrētu HTTP, lai lejupielādētu multivides saturu. Līdz ar to TikTok pārņem visas zināmās un labi dokumentētās HTTP ievainojamības.
cik maksā jaunais ipad pro
Apple ieviesa lietotņu transporta drošību operētājsistēmā iOS 9, un visiem HTTP savienojumiem ir jāizmanto šifrēts HTTPS. Google līdzīgi mainīja noklusējuma tīkla drošības konfigurāciju operētājsistēmā Android Pie, lai bloķētu visu vienkārša teksta HTTP trafiku. Tomēr joprojām pastāv HTTP ievainojamības, jo Apple un Google joprojām nodrošina veidu, kā izstrādātāji var atteikties no HTTPS, lai nodrošinātu atpakaļsaderību.
Mēs piemānāmies #Tik Tok lai izveidotu savienojumu ar mūsu viltus serveri. Mēs nolaupījām laika skalu, tāpēc lietotne parāda surogātpasta videoklipus par #COVID-19 #Drošība #Kiberdrošība #Uzlaušana
Lai uzzinātu vairāk par šo: https://t.co/0e7RGyleIW pic.twitter.com/49BbkYbunq - Mysk (@mysk_co) 2020. gada 13. aprīlis
Izmeklēšana pierādīja, ka ir iespējams veiksmīgi pārtvert TikTok trafiku un apmānīt lietotni, lai parādītu viltus video tā, it kā tos būtu publicējuši populāri un pārbaudīti konti. Jebkurš maršrutētājs starp TikTok lietotni un TikTok serveriem var viegli atklāt lietotāja skatīšanās vēsturi un mainīt profila fotoattēlus un videoklipus. Lai gan tikai lietotāji, kas ir savienoti ar maršrutētāju, redzēs ļaunprātīgo saturu, pētījums liecina, ka, ja populārs DNS serveris tiktu uzlauzts, lai tajā iekļautu bojātu DNS ierakstu, multivides dati varētu tikt mainīti plašā mērogā.
Populārākas Posts