امنیت بالا یکی از مواردی است که شرکت‌های تولید کننده اسمارت‌فون‌ها باید به آنها توجه ویژه ای داشته باشند. در همین زمینه رویداد ویژه‌ای مخصوص هکرها در چند روز پیش صورت گرفته بوده که در طول آن هکرها توانستند سه گوشی محبوب بازار را به راحتی هک کرده و به تمامی اطلاعات آنها دسترسی پیدا کنند.
در فاصله بین روزهای 13 تا 14 دسامبر (یک هفته پیش) رویداد ویژه امنیت ابزارهای هوشمند با نام Pwn2Own در توکیو ژاپن برگزار شد که در آن مسابقه‌ای جالب برای نفوذ و هک دستگاه‌های موبایل نیز صورت گرفت و به برندگان مسابقه جایزه 300 هزار دلاری اعطا گردید.
در این مسابقه افراد تلاش کردند تا با استفاده از ایرادات امنیتی به پرفروش‌ترین و محبوب‌ترین گوشی‌های بازار نفوذ کنند که در این بین سه گوشی شیائومی می 6، آیفون 10 و گلکسی اس 9 مورد آزمون قرار گرفتند که هکرهای شرکت‌کننده توانستند با استفاده از نقوص امینتی ذاتی این دستگاه‌ها و بدون به کاربردن ابزارات اضافی به آنها دسترسی پیدا کرده و همه اطلاعات آنها را استخراج کنند.
تیمی به نام Fluoroacetate متشکل از دو هکر به نام‌های Amat Cama و Richard Zhu ابتدا گوشی شیائومی می 6 را مورد بررسی قرار داده و توانستند با استفاده از نقص امنیتی که در برنامه را‌ه‌انداز درگاه NFC آن وجود داشت به گوشی وارد شده و سپس با باز کردن نرم‌افزار مرورگر گوشی توانستند به صفحه اینترنتی که خودشان طراحی کرده بودند وارد شده و با توجه به ساختار پویای آن صفحه توانستند کدهای مد نظر خود را در گوشی می 6 اجرا نمایند که خب نتیجه کار نیز مشخص است و می‌توان گوشی را به شکل برده صفحه اینترنتی درآورد و با آن هر عملی که ممکن باشد را صورت داد. با اثبات روش توسعه داده شده این گروه جایزه 30 هزار دلاری مسابقه را دریافت کرد.
اما این پایان کار گروه Fluoroacetate نبوده و این گروه توانست گوشی گلکسی اس 9 را نیز هک کند. در این روش، هک دستگاه با استفاده از آسیب‌پذیری که در فریمور مودم گوشی وجود داشت صورت گرفت. البته باید به این نکته هم اشاره کنیم که این روزها استفاده از آسیب‌پذیری‌های مودم بسیار شایع شده است و دلیل آن هم عدم توانایی دستگاه در شناسایی و بلاک کردن آسیب‌پذیری در این سطح است. در نهایت به دلیل نفوذ و کشف این آسیب‌پذیری این گروه جایزه 50 هزار دلاری را نیز دریافت کرد.
در ادامه گروهی از تیم امنیتی MWR Labs که یکی از آزمایشگاه‌های امنیتی زیرمجموعه شرکت F-Secure است و از سه عضو به نام‌های گئورگی گشف، فابی بِتِرکِ و راب میلر تشکیل شده بود نیز توانستند این بار از طریق ارتباط Wi-Fi وارد گوشی شیائومی می 6 شده و دوباره با طراحی یک صفحه وب که آسیب‌پذیری را روی دستگاه ایجاد می‌نمود وارد کرده و 5 باگ مختلف را روی آن نصب و اجرا کنند که در نهایت این گروه نیز توانستند به همه اطلاعات موجود در گوشی دسترسی پیدا کنند. جایزه نهایی 30 هزار دلاری نیز مانند گروه قبل به این تیم اعطا گردید.
حرکت بعدی تیم MWR Labs بررسی گوشی آیفون ایکس بود که در آن با ترکیب آسیب‌پذیری JIT موجود در مرورگر سافاری یک حالت out-of-bands-write را در آن ایجاد کرده و توانستند به این وسیله از مسیرهای امنیتی ورود به محیط کاربری iOS عبور کرده و آن را هک کنند. جالب اینجاست که در این رویداد مبلغ 60 هزار دلار به این گروه به عنوان جایزه اعطا شد و این در مقابل مبلغ 1.5 میلیون دلاری که شرکت اپل بابت روش هک کردن دستگاه‌های خود که در آن کاربر متوجه عملیات هک نشود، بسیار ناچیز است.
البته این گروه توانستند گوشی گلکسی اس 9 را نیز با روش ورود به صفحه لاگین یک وبسایت جعلی که در آن نیازی به ورود اطلاعات نیست و سپس نصب و اجرای یک نرم‌افزار جاسوسی هک کنند. این روش در مرتبه اول اجرا با شکست روبرو شد ولی در مرتبه دوم با تغییری کوچک توانست دستگاه را هک کند که به واسطه همین هک مبلغ 30 هزار دلار به این گروه اعطا شد.
البته در ادامه نیز گروه Fluoroacetate توانست با ترکیب دو روش استفاده از آسیب‌پذیری‌های موجود در مرورگر سافاری و مرورگر اختصاصی اندروید حملاتی را به آیفون ایکس و همچنین شیائومی می 6 صورت دهد که به ترتیب جوایز 50 هزار و 25 هزار دلار به خاطر موفقیت این روش‌ها به این تیم به صورت جداگانه پرداخت شد.
در نهایت تیم MWR Labs یک روش جداگانه را برای ورود به گوشی می 6 صورت داد که در آن با استفاده از یک تصویر که داخل آن کدهای مخرب جای داده شده بودند و می‌توانستند یک نرم‌افزار جاسوسی را روی گوشی نصب کنند، برای چندمین بار موفق به هک این گوشی شدند که مبلغ 25 هزار دلار دیگر نیز به واسطه این حرکت به آنها تقدیم شد تا موفق‌ترین تیم هکری این مسابقات لقب بگیرند.
البته نکته مهم این است که هر دو تیم در بخش‌هایی نیز ناموفق بودند و برای مثال نتوانستند آیفون ایکس را با روش فریمور مودم و قطعات بیس‌بند هک کنند و تیم MWR نیز نتوانست با روش استفاده از مرورگر به گوشی آیفون ایکس نفوذ کند.
در نهایت باید به این مورد اشاره کنیم که همه آسیب‌پذیری‌های کشف شده به شرکت‌های سامسونگ، شیائومی و اپل اطلاع داده می‌شوند و سپس این شرکت‌ها 90 روز وقت دارند تا این آسیب‌پذیری‌ها را رفع کنند. چرا که پس از این سه ماه، گروه Pwn2Own آنها را به صورت رسمی منتشر خواهد کرد.
نظر خود را اضافه کنید.
برای ارسال نظر وارد شوید
ارسال نظر بدون عضویت در سایت