Οι ενημερωμένες εκδόσεις για iOS και Mac OS X που κυκλοφόρησαν τη Δευτέρα από την Apple αντιμετωπίζουν σοβαρές ελλείψεις κρυπτογράφησης που επηρεάζουν το πρωτόκολλο iMessage της εταιρείας, το οποίο χρησιμοποιείται για την αποστολή περισσότερων από 200.000 μηνυμάτων κάθε δευτερόλεπτο.
Μια ερευνητική ομάδα από το Πανεπιστήμιο Johns Hopkins, με επικεφαλή τον εμπειρογνωμόνα στην κρυπτογραφία, Matthew Green, ανακάλυψε νέες μεθόδους επίθεσης, οι οποίες, κάτω από πολύ συγκεκριμένες συνθήκες, μπορεί να αξιοποιηθούν για την αποκρυπτογράφηση των iMessage attachments, όπως βίντεο και φωτογραφιών
Σύμφωνα με μια έρευνα που δημοσιεύθηκε τη Δευτέρα, και αφότου η Apple κυκλοφόρησε patches για την αντιμετώπιση της συγκεκριμένης ευπάθειας, οι ειδικοί εξήγησαν ότι στην περίπτωση που ένας εισβολέας καταφέρει να αποκτήσει τα iMessage ciphertexts, τότε μπορεί σιωπηλά να αποκρυπτογραφήσει τα συνημμένα μηνύματα, εφ’όσον η συσκευή του αποστολέα ή του παραλήπτη είναι online.
Η επίθεση γίνεται δύσκολότερη εάν έχει εφαρμοστεί certificate pinning, ένας μηχανισμός ασφαλείας που έχει σχεδιαστεί για να αποτρέπει τη χρήση πλαστών πιστοποιητικών, αλλά ένας έμπειρος και ισχυρός εισβολέας, όπως ένας κρατικά επιχορηγούμενος παράγοντας, ή ένας χάκερ με πρόσβαση στους διακομιστές της Apple, μπορεί να φέρει την επίθεση εις πέρας.
Στη συμβουλευτική ανακοίνωση που εξέδωσε η εταιρεία σχετικά με το κένο ασφάλειας, το οποίο έχει λάβει το αναγνωριστικό CVE-2016-1788, η Apple σημειώνει ότι ένας εισβολέας θα πρέπει να παρακάμψει τα πιστοποιητικά (certificate pinning), να παραβιάσει τις συνδέσεις TLS, να πραγματοποιήσει inject μηνυμάτων και να καταγράψει τα κρυπτογραφημένα συνημμένα για την επιτυχή διεξαγωγή της επίθεσης.
Εκτός από την ευπάθεια του iMessage, η Apple καθόρισε δεκάδες ακόμη θέματα ασφάλειας σε πολλά από τα προϊόντα λογισμικού της, συμπεριλαμβανομένων των iOS, OS X, watchOS, tvOS, Xcode, OS X Server και Safari.
