Mange bedrifter velger å bruke mer på Apple -smarttelefoner og datamaskiner fordi de skal være sikrere enn rimeligere alternativer som kjører Android eller Windows. Men de er ikke helt skuddsikre.
Forskere har oppdaget en bekymringsfull feil i en Apple -tjeneste som lar hackere stjele forretningspassord fra macOS og iOS -enheter.
Apple har gjort bedriftskunder til et stort fokus de siste årene, da det ser ut til å stjele markedsandel fra sine rivaler. Det har til og med inngått partnerskap med slike som IBM, Accenture, og Salesforce å bygge bedre forretningsapper.
Det ser imidlertid ut til at du bør være forsiktig med å bruke Apple -enheter i forretninger akkurat nå.
Sikkerhetsfeil oppdaget i Apple Device Enrollment Program
Forskere med Duo Security har oppdaget en feil i Apples Device Enrollment Program (DEP) - som hjelper selskaper administrerer og sikrer sine Mac- og iOS-enheter-det gjør det mulig å stjele Wi-Fi og applikasjoner passord.
Hackingen innebærer å registrere en useriøs enhet i DEP -systemet, og deretter registrere den hos en bedrifts MDM -server (mobile device management). Det er en rekke metoder som kan brukes for å gjøre dette.
Hacker seg inn på en MDM -server
En metode ville være at hackere finner et serienummer som allerede er registrert i DEP -systemet, men som ikke er konfigurert på selskapets server ved hjelp av sosial ingeniørkunst. Vi vet alle hvor lett det kan være for hackere å overbevise intetanende brukere til å gi opp informasjon.
Alternativt kan hackere søke i MDM -produktfora der ansatte ofte legger ut serienumre for å få støtte, sier Duo Security. En annen metode ville være å bruke "brute force" -programvare for å bla gjennom utallige serienumre til en kamp er funnet.
Når de har en enhet registrert på en MDM-server, er det mulig å hente passord for applikasjoner og Wi-Fi-nettverk som brukes i hele selskapet.
Det er forbehold
Du tror kanskje at det er nesten umulig for denne typen angrep å finne sted. Og det er forbehold.
"Angriperen må registrere enheten sin på selskapets MDM -server før den legitime medarbeideren gjør det," forklarer Forbes. "Det godtar bare det nødvendige serienummeret en gang."
Ifølge Duo -forskere er det imidlertid ikke så vanskelig som det høres ut. Alt hackere trenger å gjøre er å søke etter serienumre på produkter produsert de siste 90 dagene. "Det er definitivt mulig at du finner enheter som ikke har registrert seg ennå," sier forsker James Barclay.
Dette betyr ikke at du bør unngå Apples DEP -system eller MDM, sier Barclay. “Fordelene oppveier de iboende risikoene her. Men det er skritt Apple og kunder kan ta for å dempe. ”
Duo anbefaler at selskaper bruker krypteringsteknologi på enhetsbrikker for å identifisere dem på en unik måte når de er registrert på DEP. Apple kan også implementere sterkere, håndhevet autentisering, legger de til.
Apple er klar over problemet
Duo har rapportert dette problemet til Apple - det gjorde det tilbake i mai - men Apple har ikke bekreftet om det ville bli gjort noe med det.
Apple fortalte Forbes at de mulige angrepene ikke utnytter en sårbarhet i egne produkter, og selskapet anbefaler at bedrifter bruker autentisering. Likevel er Barclay "sikker på at noen endringer vil bli gjort."