iPhone保安漏洞 黑客短訊可操控
偷用戶身分重要資料
【明報專訊】手機保安專家發現,蘋果iPhone以至使用微軟WM平台的智能手機等,都存在重大保安漏洞,令黑客能用含有惡意程式密碼的手機短訊,操控用戶的手機,偷取用戶的身分以至重要個人資料,只要黑客知道閣下的電話號碼,理論上就能下手。
全球頂尖電腦安全專家會議「Black Hat」本周在拉斯維加斯舉行,會上3組專家都不約而同指出,短訊可能成為黑客控制他人智能手機、從事不法活動的工具,就連iPhone亦非絕對安全。
「這實在驚人,我不想別人操控制我的iPhone。」保安分析師米勒(Charlie Miller)說。來自柏林科技大學的米勒和同僚馬利納(Collin Mulliner)發現,黑客只消一個「惡意程式短訊」,就能令受害用戶的iPhone無法駁上手機服務供應商的網絡,阻止用戶打電話、上網及收發短信。
可阻打電話上網發短訊
他們指出,有關的惡意程式,可針對iPhone處理收發短訊時的漏洞,癱瘓軟件系統,而最令人防不勝防的是,受害者根本不知收過惡意短訊;理論上,黑客還可針對某一受害者的手機,發出500則「惡意短訊」攻擊指令,利用iPhone在處理如此龐大短訊量時的記憶體運作漏洞,成功遙控受害者的 iPhone。
7月中警告蘋果 至今未修正
他們表示,若罪犯掌握了他們在會議上談及的技巧,足以在兩周內開發出軟件,入侵iPhone。他們曾於7月中警告蘋果這個保安漏洞,呼籲蘋果方面應盡快堵塞,惟蘋果迄今仍未有修正。一名業界分析師說:「蘋果若對此不作回應,會損害他們的商譽。」
這次保安會議,約有4000名專家出席,當中包括一些真正的黑客。研究員向觀眾展示如何透過電話的SMS短訊功能,發放惡意電腦程式碼,從而入侵 iPhone。由於一些手提電話本來就會透過短訊功能,接收軟件自動更新指示,研究人員指出,用家不可能分出他們接收的,到底是否惡意程式密碼。
黑客入侵技巧全球通行
保安專家表示,他們覺得絕對有需要警告用家,iPhone其實就如個人電腦一樣會容易遭到攻擊。專家馬利納說:「若我們不說出來,人們依然會悄悄地做,那些壞人無論如何都會做。」他和拍檔米勒曾針對德國4個電訊供應商以及美國電訊供應商AT&T進行測試,成功利用有關技巧,入侵這些供應商的 iPhone手機,因此他們相信有關的黑客入侵技巧「全球通行」。
WM同樣出事 智能手機恐受襲
【明報專訊】現在的智能手機就像是迷你版個人電腦,愈來愈多人用手機處理敏感數據、收發電郵、完成網上付費等。隨覑它們對犯罪分子的「吸引力」愈來愈大,智能手機像個人電腦般成為襲擊目標的風險也愈來愈高。
手機保安專家米勒表示,手機短訊攻擊料將變得日益普遍,因為收發短訊已成手機必然功能,不可能取締,「黑客只需知道你的手機號碼,只要你的電話開覑,黑客就能為所欲為,用戶完全無力抵抗」。米勒和馬利納表示,他們也用差不多的方法,成功入侵使用Google Android和視窗WM作業系統的電話。在收到通知後,Google已修補了有關漏洞,惟視窗WM仍未處理。
專家提醒收軟件更新短訊要小心
有保安專家也針對台灣HTC的手機進行測試,成功透過惡意短訊,令受害者的手機出現pop up畫面,又或自動連上一些色情網頁。專家提醒在收到手機軟件更新的短訊時,要多加小心。他們同時認為手機服務供應商可在這方面幫手把關,過濾惡意程式短訊的發送。
專家指出,在某些方面,手機似乎仍較電腦安全一點,皆因手機網絡供應商對通訊網絡的控制,比互聯網服務供應商的要嚴格得多,所以他們在對付黑客入侵上,至少能處於一個較有利的位置,但要判斷那些通訊(短訊)是有害還是無害,卻絕不容易。即便是最審慎的手機用戶,也可能遭受黑客攻擊,強迫登上色情或含病毒網站,因為他們無法控制手機進來的內容。
追查病毒來源不容易
另外,技術人員想追查手機病毒的源頭,也不容易,尤其是現在不少手機商家都有「預繳電話卡」一類服務,客戶毋須簽長期合約,也就找不到具體的手機使用者。
+ + +
其實我一直都對手機電腦沒興趣,主要就是猜到它的保安問題極為嚴重,當然我一向不喜歡小螢幕是另外一個主因——15年前的機子的表現,令我深明低功能的機子的安全性絕對成疑。 |