الرئيسية / أجهزة ذكية / أبل / عنوان URL قد يتيح للمهاجمين سرقة المعلومات الحساسة من التطبيقات على iOS

عنوان URL قد يتيح للمهاجمين سرقة المعلومات الحساسة من التطبيقات على iOS

أوضح باحثو الأمن هجومًا جديدًا في الوسط قد يسمح لتطبيق ضار تم تثبيته على جهاز iOS بسرقة المعلومات الحساسة من تطبيقات أخرى من خلال استغلال تطبيقات معينة لنظام Custom URL Scheme.

بشكل افتراضي على نظام تشغيل iOS يعمل كل تطبيق داخل صندوق رمل خاص به مما يمنع جميع التطبيقات المثبتة على نفس الجهاز من الوصول إلى بيانات بعضهم البعض.

 ومع ذلك تقدم الشركة بعض الطرق التي تسهل إرسال واستقبال بيانات محدودة للغاية بين التطبيقات.

تسمى إحدى هذه الآليات مخطط URL والمعروف أيضًا باسم Deep Linking والذي يتيح للمطورين السماح للمستخدمين بتشغيل تطبيقاتهم من خلال عناوين URL ، مثل facetime: // ، whatsapp: // ، fb-messenger: //.

 على سبيل المثال عند النقر فوق “تسجيل الدخول باستخدام فيسبوك ” داخل أحد تطبيقات التجارة الإلكترونية يقوم مباشرة بتشغيل التطبيق المثبت على جهازك ومعالجة المصادقة تلقائيًا.

وفي الخلفية يقوم تطبيق التجارة الإلكترونية هذا بالفعل بتشغيل مخطط URL لتطبيق Facebook (fb: //) ويمرر بعض معلومات السياق المطلوبة لمعالجة معلومات تسجيل الدخول الخاصة بك.

لاحظ الباحثون في Trend Micro نظرًا لأن أبل لا تحدد صراحةً أي تطبيق يمكنه استخدام الكلمات الرئيسية لنظام مخطط URL المخصص الخاص بهم فيمكن للتطبيقات المتعددة على جهاز iOS استخدام نظام URL أحادي مما قد يؤدي في النهاية إلى تشغيل البيانات الحساسة ونقلها إلى تطبيق مختلف تمامًا بشكل غير متوقع  أو ضارة.

وقال الباحثون: “هذه الثغرة حاسمة بشكل خاص إذا كانت عملية تسجيل الدخول للتطبيق A مرتبطة بالتطبيق B”.

ولإثبات ذلك قام الباحثون بتوضيح سيناريو الهجوم كما هو موضح في الصورة أعلاه باستخدام مثال لتطبيق تاجر التجزئة الصيني “Suning” وتطبيقه لميزة “تسجيل الدخول باستخدام WeChat” موضحًا كيف يكون عرضة للتسلل.

باختصار عندما يختار مستخدمو تطبيق Suning الوصول إلى حساب التجارة الإلكترونية الخاص بهم باستخدام WeChat فإنه ينشئ طلب تسجيل دخول ويرسله إلى تطبيق WeChat المثبت على نفس الجهاز باستخدام نظام عنوان URL لنظام التشغيل iOS لتطبيق المراسلة ويطلب تطبيق WeChat ثم رمز تسجيل دخول سري من خادمه ويرسله مرة أخرى إلى تطبيق Suning للمصادقة.

ووجد الباحثون أن Suning تستخدم دائمًا نفس استعلام طلب تسجيل الدخول لطلب الرمز السري ولا يقوم WeChat بمصادقة مصدر طلب تسجيل الدخول يكون التطبيق عرضة للهجوم من داخل التطبيق عبر نظام URL لنظام iOS والسماح للمهاجمين في النهاية بالوصول غير المصرح به إلى حسابات المستخدمين.

 وباستخدام عنوان URL الصحيح لـ WeChat يمكن صياغة WeChat وهمي وسيقوم Suning بالاستعلام عن النسخة المزيفة لتسجيل الدخول وإذا أرسل تطبيق Suning الاستعلام فيمكن للتطبيق المزيف التقاط مخطط عنوان URL لتسجيل الدخول الطلب.

وسيتعرف WeChat على ذلك لكنه لن يقوم بمصادقة مصدر طلب تسجيل الدخول وبدلاً من ذلك سوف يستجيب مباشرةً بواسطة رمز تسجيل الدخول لمصدر الطلب ولسوء الحظ قد يكون المصدر تطبيقًا ضارًا يسيء استخدام Suning  مخطط عنوان URL. “

وهذا يعني أن تطبيقًا ضارًا له نفس مخطط URL المخصص كتطبيق مستهدف يمكن أن يخدع التطبيقات الأخرى لمشاركة بيانات المستخدمين الحساسة معه أو يمكنه تنفيذ إجراءات غير مصرح بها مما قد يؤدي إلى فقدان الخصوصية أو الاحتيال على الفاتورة أو التعرض لـ pop  حتى الإعلانات.

“وفي البحث تم العثور على الكثير من التطبيقات التي خضع نظامنا لتدقيقها للاستفادة من هذه الميزة لعرض الإعلانات على الضحايا وستدعي التطبيقات الخبيثة المحتملة عن قصد نظام URL المرتبط بالتطبيقات الشائعة: wechat: //، line: //، fb  : // ، fb-messenger: // ، إلخ ولقد تم تحديد بعض هذه التطبيقات الخبيثة ” نظرًا لأن قابلية استغلال هذه الثغرة الأمنية تعتمد تمامًا على الطريقة التي تم بها تنفيذ نظام URL.

واخيرًا يوصى جميع مطورو التطبيقات والأنظمة الأساسية الشائعة بمراجعة تطبيقاتهم والتحقق من صحة الإصلاح للطلبات غير الموثوق بها.

عن فدوى

شاهد أيضاً

ثغرة أمنية في منتجات كاسبرسكي تعرض مستخدميها افتراضيًا للتتبع عبر الإنترنت

في هذا العصر الرقمي ينجح نجاح كل شركة تسويق وإعلان وتحليلات تقريبًا من خلال تتبع …

اترك تعليقاً

لن يتم نشر عنوان بريدك الإلكتروني. الحقول الإلزامية مشار إليها بـ *