Când vine vorba de aplicațiile dvs. pentru Mac, există motive să vă temeți de așa-numitul om din mijloc.
Un inginer de securitate raportează mai multe aplicații vulnerabile la codificare dăunătoare prin Sparkle, aplicațiile cadru software de la terțe părți folosite pentru a primi actualizări. Unele dintre aplicațiile identificate includ versiuni de Camtasia, VLC, uTorrent, Sketch și DuetDisplay.
Punctul slab a fost semnalat prima dată luna trecută pe un blog de inginerul care se numește Radek. De atunci a fost verificat de un alt cercetător, Simone Margeritelli, și a fost raportat miercuri de site-ul tehnologic, arstechnica.
Riscul implică protocolul de transfer hipertext sau HTTP. Unii dezvoltatori de aplicații au folosit HTTP pentru actualizări de informații, spre deosebire de HTTPS. S este pentru aplicații sigure, ceea ce înseamnă că aplicațiile care utilizează HTTPS asigură criptarea datelor. HTTP este în esență text simplu și nu este sigur.
Radek a spus că aplicațiile cu HTTP sunt deschise pentru MiTM sau pentru atacurile omului în mijloc, ceea ce înseamnă că codul ar putea fi manipulat în secret pe măsură ce traficul trece între un utilizator final și server.ir
„Cadrul Sparkle Updater în natura sa este sigur și ușor de utilizat”, a spus Radek pe blogul său. „Dezvoltatorii care includ Sparkle în proiectele lor tocmai au încălcat o regulă simplă: nu au stabilit HTTPS peste tot.”
Vestea bună este că cea mai recentă versiune a Sparkle utilizează numai canale HTTPS. Vestea proastă este că este mult de lucru pentru dezvoltatori să abordeze vulnerabilitatea și să publice o nouă versiune a aplicațiilor lor.
„Acum, acesta este momentul în care oamenii pot verifica actualizarea și pot înlocui această versiune specială a aplicației de pe computerele lor cu cele mai noi”, potrivit unui e-mail scris de Radek către arstechnica. „Totul depinde de complexitatea unei aplicații, de dimensiunea acesteia și de întreținători. Acesta este motivul pentru care unii dezvoltatori nu doresc să actualizeze sau nu pot actualiza Sparkle în aplicațiile lor. ”
Radek a spus că este greu de știut câte aplicații Mac sunt afectate, dar suspectează că numărul este destul de mare. Blogul său prezintă testele pe care le-a susținut pe unele aplicații.
Margeritelli a efectuat un test de atac al VLC Media Player și a făcut un scurt videoclip, postat mai jos, care arată vulnerabilitatea.
Sursă: arstechnica