Articoli

[APPROFONDIMENTO] Apple verrà veramente bandita dal mercato Italiano?

In queste ultime ore sta avendo un importante rilievo mediatico la notizia che Apple potrebbe essere bannata dal commercio Italiano a causa di una nuova proposta di legge passata in sordina alla Camera e ormai prossima al Senato per essere definitivamente confermata o bocciata. La proposta di legge porta la firma di Stefano Quintarelli e ha visto un forte consenso da parte del Movimento Cinque Stelle.

La proposta di legge potete leggerla sul sito ufficiale del Senato della Repubblica, il Corriere della Sera inoltre riporta qualche voce fuori campo di Apple: “Finirà che dovremo fare un cellulare apposta per l’Italia. O bloccare i nostri!”.

Premetto che sono un utente Apple e Linux, sfrutto quotidianamente la mela morsicata per i miei device mobili e sul Desktop ho un uso promiscuo di entrambe le piattaforme. Non uso Android quotidianamente anche se ho alcuni loro device, ma per alcune caratteristiche preferisco non usarli (es. non trovo uno smartphone Android con un display da 4″ con ottime caratteristiche hardware e una garanzia sui futuri aggiornamenti del OS).

La legge è suddivisa in due commi, ma concentrerò la mia successiva analisi sul comma uno nonché il principale.

Gli utenti hanno il diritto di reperire in linea, in formato idoneo alla piattaforma tecnologica desiderata, e di utilizzare a condizioni eque e non discriminatorie software, proprietario o a sorgente aperta, contenuti e servizi leciti di loro scelta.

Questa legge viene ovunque interpretata come “blocca Apple Store” poiché imporrebbe ad Apple, ma non solo (Windows Mobile, BlackBerry?!), di permettere l’installazione di Applicazioni anche di terze parti. Ovvero come avviene nel mondo Android di poter installare AppStore alternativi (Amazon Appstore uno tra tanti) e quindi sfruttare essi in alternativa a Google Play Store. Tecnicamente significa permette, almeno in Android, di acconsentire l’installazione di applicazioni non certificate da Google. Applicazioni che sono, ancora ad oggi, veicolo di malware, trojan o spyware.

Attualmente nel mondo Apple è possibile installare applicazioni che non provengono dall’Apple Store? Sì, avete letto bene. Sì!

Escludendo la pratica non ortodossa e facile del JailBreak, esistono le WebApp. Applicazioni che si basano esclusivamente su contenuti Web si installano con due semplici click, oppure Apple offre il Developer Enterprise Program in cui una App sviluppata per iOS può essere distribuita tramite canali alternativi a patto di includere un certificato a garanzia dello sviluppatore.

Vi sono però dei limiti, che non garantiscono l’equità voluta dalla normativa proposta, ad esempio le WebApp non posso inviare notifiche Push ed entrambe le proposte e non posso accedere ai servizi iCloud.

La seconda parte del primo comma riporta:

Gli utenti hanno il diritto di disinstallare software e di rimuovere contenuti che non siano di loro interesse dai propri dispositivi, salvo che tali software siano previsti come obbligatori da norme imperative o siano essenziali per l’operatività o per la sicurezza del dispositivo, delle reti pubbliche di comunicazioni alle quali si connette o dei dati gestiti dal dispositivo. È comunque vietata ogni disinstallazione effettuata al solo fine di consentire al dispositivo di funzionare in violazione di norme imperative.

Questa seconda parte i dispositivi Apple già la offrono, possono certamente migliorare, ma anche altre piattaforme possono farlo. È importante garantire all’utente di poter rimuovere applicazioni inutili, magari imposte da un operatore di telefonia conservando però l’integrità delle applicazioni necessarie per il corretto utilizzo del telefono.

Concludendo, personalmente non condivido la scelta fatta da Stefano di proporre questa legge. La storia tecnologica ci insegna che aprire un Sistema Operativo a software di terzi parti porta ad un incremento di Malware, Trojan, ecc. Apple è una azienda privata, non monopolista, che offre un prodotto con caratteristiche ben note. Certamente vulnerabile, ma ha punti di forza che il consumatore ama, un controllo maggiore sulle Applicazioni, un attenzione scrupolosa sugli Aggiornamenti e anche sulla Sicurezza dei Dati degli utenti.

Ora perché costringere una azienda privata a cambiare le carte in tavola con la probabile conseguenza di perdere consumatori e quindi vendite? Personalmente comprerei la versione di iOS non “italianizzata” a discapito del nostro erario o opterei per altre piattaforme (sì, sarei in seria difficoltà dopo aver usato Ubuntu Phone per oltre un anno anche questo progetto è terminato).

Se un altro utente non condivide la chiusura di Apple ha sul mercato una alternativa molto più aperta (magari anche con un Trojan di stato preinstallato) come Android!

Non capisco perché lo stato debba imporre delle linee guide che non vanno affatto verso un beneficio di sicurezza dell’utente ma forse, sì forse, portano un solo beneficio economico.

Non sarebbe più opportuno, proprio ai fini di sicurezza, imporre ai produttori di aggiornare i propri device più frequentemente con l’ultima release di Android disponibile o perlomeno con l’ultimo pacchetto di aggiornamenti di sicurezza?

No, non concludo! Mentre scrivevo questo articolo ieri sera (voi lo leggete con un giorno di ritardo) Stefano ha rilasciato una dichiarazione alla redazione di iSpazio che vi riporto:

La proposta di legge nasce nel 2014, ed è stata approvata alla Camera all’unanimità. Ha quindi ricevuto riscontro positivo dalla maggioranza del Governo, ha passato tutte le commissioni al Senato ed il mese scorso ne è stata disposta la trattazione in aula a Giugno. E’ inutile dire che il M5S sia maggiormente coinvolto rispetto ad altri perché la proposta è piaciuta a tutti e questo lo si può leggere dal verbale.

La prima parte del disegno di legge disciplina la non discriminazione del traffico in rete. Qualcuno ritiene che non si dovrebbe intervenire con una norma nazionale quando c’è un regolamento UE (che nel percorso di iter della mia pdl e’ stato nel frattempo approvato ed e’ abbastanza notevole quanto i principi contenuti siano sovrapponibili), ma il Regolamento 2015/2120 prevede espressamente interventi del legislatore nazionale, come questo. Il Regolamento al considerando 7 recita: “Le autorità nazionali di regolamentazione e le altre autorità nazionali competenti dovrebbero essere autorizzate ad intervenire contro accordi o pratiche commerciali che, in virtù della loro portata, determinano situazioni in cui la scelta degli utenti finali è significativamente limitata nella pratica.”

Come è evidente dal tipo di apparato sanzionatorio presente nella mia PDL all’art. 6, l’unica conseguenza delle violazioni delle disposizioni li’ previste è proprio un intervento delle Autorità nazionali (AGCOM/AGCM) con un’istruttoria a tutela dell’utenza in situazioni come quelle descritte e, pertanto, non c’è alcuna sovrapposizione o violazione del diritto comunitario, né incertezza giuridica poiché risulta chiaro che il fine della norma nazionale è diverso e complementare a quello del Regolamento UE.

Peraltro, la Corte di Giustizia UE (sentenza 22/1977 causa 50/66 Amsterdam Bulb) ha stabilito l’illegittimità di una norma nazionale che riproduca disposizioni di un Regolamento UE, solamente laddove essa “nasconda agli amministrati la natura comunitaria di una norma giuridica e gli effetti che ne derivano”, cosa che evidentemente nella mia PDL non è, dato che il Regolamento 2015/2120 e’ espressamente richiamato ed avendo le Autorità competenze e poteri anche di applicazione del diritto comunitario.

Oltre alla non discriminazione del traffico, nella stessa proposta di legge si introduce una previsione di non discriminazione da parte delle piattaforme.

Questa vuole prevenire discriminazioni, ovvero che non possano essere esclusi soggetti dal mercato con comportamenti discriminatori. Se una cosa è discriminatoria o meno lo valuterà caso per caso l’Autorità Garante della concorrenza e del mercato.

Perché scatti una sanzione devono essere presenti due situazioni in AND:

  • Impossibilità di installare/disinstallare applicazioni
    AND
  • danno ai consumatori

Se ciò accade, si applica il codice del consumo; in pratica, una strada più veloce ed economica per chiedere giustizia rispetto alla normale disciplina antitrust.

 

Ora le carte cambiano completamente, personalmente interpreto queste nuove dichiarazioni di Stefano come una tutela al consumatore il quale abbia acquistato un device Apple per installare un determinato software ma l’utilizzo di esso è venuto successivamente a mancare causa di restrizioni imposte da Apple. Mi viene in mente un esempio, vi ricordate quando Apple non voleva approvare un aggiornamento dell’applicazione per gli Smartwatch Pebble causa concorrenza diretta con Apple Watch? O che ancora ad oggi non permetta di installare applicazioni che controllino Transmission causa possibile utilizzo illecito (anche se io la uso per controllare la distribuzione della nostra BackBox Linux)?

Concludo, seriamente, con la speranza di vedere nel Blog di Stefano o del gruppo politico che rappresenta (Civici e Innovatori) un articolo esaustivo su questa proposta di legge che probabilmente è stata mal interpretata dalla stampa e forse anche da altri gruppi politici. Personalmente ammiro molto il lavoro dei Civici e Innovatori e gli ho sostenuti in passato anche in alcune battaglie (es. il consumatore è libero di installare il modem xDSL che preferisce) poiché trattano spesso e con forte conoscenza temi digitali.

Voi cosa ne pensate?

GFI: Apple e Linux i più vulnerabili del 2014?! Vediamoci chiaro…

GFI_OS_Chart

Il 18 Febbraio la GFI Software ha rilasciato una statistica che fa sicuramente discutere, e proprio per questo ho deciso di scrivere un articolo per puntualizzare ciò che non trovo corretto di questa analisi. Lo metto in chiaro fin da subito, sono di parte perché chi mi conosce sa bene che apprezzo di prodotti Apple e lavoro attivamente su Linux tanto è vero che faccio parte del team di sviluppo di BackBox Linux.

Fatta questa promessa proverò di essere il più analitico possibile, l’immagine in testata è quella diffusa dalla GFI e in tale immagine troviamo riportate in ordine crescente il numero di vulnerabilità rilevate nel ’14 per sistema operativo. La fonte dei dati è il National Vulnerability Database (NVD) e personalmente mi limiterò a giudicare solo questa immagine, nell’articolo della GFI sono riportate ulteriori statistiche sulle vulnerabilità dei software ma non mi interessa analizzarle come non voglio addentrarmi nel database del NVD per capire se i numeri riportati sono corretti o meno.

Linux e Apple raggruppati e Windows suddiviso per versioni?!

Questo è il primo dettaglio che mi è saltato all’occhio appena ho visto l’immagine, in sostanza viene fatto di ogni erba un fascio per i sistemi operativi di Apple e Linux mentre per Window no! Ma in fin dei conti vi sono centinai di versioni dell’OS X di Apple o di iOS e anche del Kernel Linux che anzi credo vinca il premio per il maggior numero di rilasci!

Così ho preso la calcolatrice alla mano è ho sommato Windows Server 2008 a Windows 8, poi a Windows Server 2012…ecc ecc fino ad ottenere la somma complessiva di 248 vulnerabilità!

Bingo, quindi Windows è al primo posto con 248 vulnerabilità! Seguito da Apple e poi da Linux!

GFI_OS_Chart_Somma_Windows

Poi se proprio vogliamo mettere i puntini sulle i dovremmo anche contare Windows XP, visto che per parte del 2014 è stato un sistema operativo supportato da Microsoft!

Linux è Open Source!

Esattamente cercare una vulnerabilità all’interno di un software Open Source è statisticamente più facile rispetto ad OS Closed Source, attenzione a non interpretare male questa mia affermazione! Individuare una vulnerabilità in un sistema Open Source è indubbiamente più facile, ma ciò non toglie che non vi son statistiche che dimostrano che un sistema Open sia più vulnerabile di un sistema Closed! Infatti nel precedente punto ho dimostrato che il sistema Closed è più vulnerabile!

Kernel? Ma non si parlava di Sistemi Operativi!?!

Questa è la terza anomalia che mi è venuta in mente, la statistica vuole riportare i sistemi operativi più vulnerabili…ma il Kernel NON è un Sistema Operativo!

In computing, the kernel is a computer program that manages I/O (input/output) requests from software, and translates them into data processing instructions for the central processing unit and other electronic components of a computer. The kernel is a fundamental part of a modern computer’s operating system. {Wikipedia}

Conclusioni

Questa analisi credo sia stata eseguita in maniera fin troppo superficiale, ma a pensar male…mi viene da dire che bisognava promuovere le “finestre”

WireLurker: Storia, Caratteristiche, Analisi e Rimozione

WireLurkerApro l’articolo chiarendo subito che WireLurker è un malware, reale, che colpisce Mac OS X e iOS ovvero i due sistemi operativi creati da Apple. Ma non creiamo allarmismo come stanno facendo in queste ore i principali media copiando a destra e manca porzioni di articoli internazionali e non, anzi ne approfitto per fare un appello e anche un ringraziamento; cari redattori/giornalisti prima di scrivere un articolo principalmente tecnico sul mondo della sicurezza informatica abbiate almeno la buona volontà di contattare un esperto del settore, in Italia siamo in diversi e quasi sempre disponibili una eMail o una Telefonata renderà il vostro lavoro più prezioso e completo. Ringrazio quindi Giuseppe Bottero che puntualmente mi contatta quando vuole scrivere articoli di Sicurezza Informatica sul quotidiano La Stampa.

Le Origini

Qū Chāo,

Tutto nacque per una segnalazione dello sviluppatore Qū Chāo, lo scorso 1 Giugno 2014 rilevò sul suo Mac dei processi sospetti e sul suo iPhone l’installazione automatica di una applicazione che potete vedere nello screenshot soprastante. Nei giorni successivi a questa segnalazione altri utenti segnalarono casi analoghi su un forum di Fan Apple Cinesi, in tutti i casi gli utenti rilevarono due demoni installati sul proprio Mac denominati “machook_damon” e “WatchProc”, gli utenti avrebbero poi dichiarato di aver installato nei giorni precedenti alcune applicazioni provenienti dal Maiyadi App Store che attualmente risulta down. Questo Store alternativo a quello originale permetterebbe di aggirare le restrizioni imposte dal governo Cinese ad Apple e di scaricare software piratati/crackati. Le prime indiscrezioni incolpavano l’applicazione CleanApp scaricata dal Maiyadi App Store, codesta applicazione avrebbe provacato la diffusione del malware.

CleanApp

In realtà una successiva indagine contatta da Paolo Alto Networks ha rivelato che quasi tutte le applicazioni per Mac (per un totale di 467) caricate sul Maiyadi App Store dal 30 aprile 2014 all’11 giugno 2014, erano state trojanized e riconfezionate integrando in esse WireLurker. Queste applicazioni sono state scaricate 356.104 volte, da Aprile ad Ottobre 2014. The Sims 3, Internationa Snooker, Pro Evolution Soccer, ecc sono le tre principali applicazioni scaricate dal Maiyadi App Store ed infette!

Caratteristiche e Analisi

WireLurker WorkFlow

 

Il Diagramma di Flusso dimostra come lavora WireLurker partendo proprio dalla modifica/trojanized di una applicazione dedicata al mondo Mac, tale software modificato è stato diffuso in un App Store alternativo contenente principalmente applicativi illegati (crakkati), gli utenti hanno scaricato l’applicativo e installandolo hanno avviato il circolo vizioso che poi ha permesso di infettare anche device iOS attraverso una connessione USB con il Mac. Il Malware non si limita ad infettare il device iOS ma andrà a modificare/trojanized anche le applicativi per iPhone o iPad garantendo l’estrazione di un maggior numero di dati sensibili

Voglio però soffermarmi un attimo sul mondo iOS che è sempre stato ribattezzato uno dei sistemi operativi mobile più sicuri, come saprete i device iPhone e iPad possono essere Jailbrekkati ottenendo i permessi di root e pertanto caricare software di terze parti (app crakkate, nuovi tweak, ecc ecc) questa tecnica resa sempre più semplice dalla bravura degli sviluppatori crea grossi problemi di sicurezza sui nostri dispositivi. Infatti sono proprio i dispositivi Jailbroken ad essere più soggetti a questi tipi di attacchi.

Per un dispositivo iOS NON Jailbroken, WireLurker installa nuove applicazioni iOS, sfruttando i protocolli di iTunes ovvero la libreria libimobiledevice.
Per un dispositivo iOS Jailbroken, WireLurker esegue il backup delle applicazioni del dispositivo sul computer e le trojanizza sfruttando la capacità elaborativa del Mac, successivamente le riconfeziona (app originale + file dannoni) caricandole nuovamente sull’iPhone. Inoltre, WireLurker si propaga infettando il MobileSubstrate Tweak attraverso il servizio AFC2.

A questo punto, nuove applicazioni/icone sono visibili all’utente sul dispositivo iOS, jailbroken o meno. Per un dispositivo Jailbroken del codice malevolo viene iniettato in applicazioni di sistema, e sarà quindi possibile eseguire query sui Database di sistema ottenendo Messaggi, Cronologia WhatsApp, Contatti, eMail, ID Apple, Foto, Video, ecc. Tali dati verranno inviati al server C2 insieme alle informazioni di stato di WireLurker. Per i dispositivi NON Jailbroken gli utenti si vedranno sottratti dei loro dati solo se all’apertura della nuova App acconsentiranno di accedere alla Rubrica, Calendari, Posizione, ecc.

Dal 30 Aprile al 17 ottobre 2014 la Palo Alto Network ha identificato 3 versioni di WireLurker la prima versione denominata A fino alla versione C rilevata lo scorso agosto, ogni versione introduceva nuove funzionalità la prima non prevedeva l’infezione dei dispositivi iOS funzionalità introdotta nella versione B solo per i dispositivi Jailbroken e infine nella versione C è stata introdotta la modalità per i dispositivi NON Jailbroken.

Rimozione e Prevenzione

La società Paolo Alto Network attraverso GitHub ha reso disponibile uno script scritto in Pyhton per identificare se il vostro Mac è stato infettato dal malware WireLurker, nello screenshot di apertura potete vedere lo script in funzione con i relativi comandi per scaricarlo e avviarlo ma per comodità vi riepilogo i comandi di seguito:

$ curl -O https://raw.githubusercontent.com/PaloAltoNetworks-BD/WireLurkerDetector/master/WireLurkerDetectorOSX.py

$ python WireLurkerDetectorOSX.py

attraverso il primo comando andremo a scaricare lo script e successivamente lo avvieremo. Basterà attendere qualche minuto per conoscere se il vostro PC è stato infettato o meno!

Per prevenire in futuro possibili attacchi le regole fondamentali da seguire sono:

  • Evitare di modificare il proprio dispositivo mobile ottenendo i permessi di Root se non si è un utente esperto;
  • Evitare il download di applicazioni illegali/crakkate esse sono la principale causa di virus, trojan o malware;
  • Scaricare software solo da Store o siti Web Autorevoli;
  • Controllare sempre i permessi che attribuire ad ogni applicazioni del vostro iPhone e iPad (selezionare sempre OK non è la soluzione ai vostri problemi);
  • Aggiornate sempre il vostro dispositivo.

Conclusione

Non è ancora chiara la motivazione e i mandatari di tale attacco, ma indubbiamente è importante sottolineare che l’attenzione sui dispositivi Apple sta cambiando e potremmo presto vedere nuovi attacchi! La prevenzione dell’utente e la tempestività del Brand nel correggere vulnerabilità sono sempre la prima arma per evitare un propagarsi di malware, virus, ecc ecc.

Per chi volesse approfondire maggiormente l’argomento (Analisi del Codice, Statistiche, ecc) può scaricare il documento creato dalla Palo Alto Networks, for the English Friends would also recommend reading the article by Marco Ramilli’s Blog.

 

WiFi2Me si aggiorna alla versione 1.2

Il noto software WiFi2Me per Apple iOS si è aggiornato alla versione 1.2 introducendo una nuova veste grafica, completamente rivista rispetto alla precedente, e l’aggiornamento del database interno oltre alla localizzazione in Spagnolo.

WiFi2Me per chi non l’avesse mai provata permette di recuperare le chiavi Wireless della propria rete WiFi e di ricercare le credenziali (username e password) di defualt del pannello di controllo dei router dei principali produttori.

È possibile scaricare l’applicativo attraverso l’Apple Store a 79cent, infine vi lascio con una video guida dopo il salto.

Continua a leggere

Un Malware potrebbe colpire i device Jailbroken di Apple

Il ricercatore indiano Atul Alex ha annunciato di dimostrare durante il MalCon 2011 un nuovo Malware in grado di introdursi in un dispositivo Apple iOS non solo compromettendo la privacy dell’utente con la possibilità di estrapolare informazioni sensibili ma sarà possibile prendere il pieno controllo del dispositivo.

I dispositivi vulnerabili sono tutti quelli dotati di iOS, compreso il recentissimo iOS 5, pertanto iPod Touch, iPad, iPhone e Apple TV . Il Malware sarà in grado di controllare il dispositivo tramite SMS, accedere alle eMail e alle Note, recuperare dati sensibili contenuti nel dispositivo (foto, registrazioni, video, ecc ecc), registrare le telefonate e visualizzare istantaneamente l’interazione dell’utente con il dispositivo attraverso una VNC.

È possibile essere infettati dal Malware accedendo semplicemente ad una pagina WEB e uno script creato ad hoc provvederà all’installazione del virus che risulterà completamente invisibile all’utente.

Gli utenti vulnerabili sono esclusivamente quelli in possesso di un dispositivo Jailbroken, ovvero con i permessi di root abilitati, lo stesso ricercatore dichiara:

“Apple products are extremely secure by design. The malware works on jailbroken devices – something which over 90% of users have. If your device is not jailbroken, you have nothing to worry about!”.

La dimostrazione della vulnerabilità avverrà il prossimo 26 Novembre 2011 durante il MalCon, conferenza internazionale dei Malware.

Vulnerabilità nella Lock Screen di iPad 2 con iOS 5

I ragazzi di 9to5Mac hanno rilevato una nuova vulnerabilità nel Tablet di Apple iPad 2 con sistema operativo iOS 5; la vulnerabilità permetterebbe di accedere al dispositivo anche se quest’ultimo è protetto da password!

La vulnerbilità per essere sfruttata richiede l’uso della Smart Cover e bisogna seguire i seguenti passi:

  1. Sbloccare il dispositivo fino alla richiesta della password;
  2. Premere il tasto di accensione fino a quando non compare la schermata di spegnimento;
  3. Chiudere la Smart Cover;
  4. Aprire la Smart Cover;
  5. Premere il pulsante “Annulla”!

Importante sottolineare che il dispositivo viene correttamente sbloccato ed è possibile consultare la Home dell’utente ma non è possibile lanciare applicazioni, a meno che non sia stata lasciata aperta un applicazione dall’utente. In quest’ultimo caso sarà possibile interagire completamente con l’applicativo.

In attesa di un aggiornamento Software di Apple è possibile disattivare la funzionalità di “Blocco/Sblocco case iPad”  dalle impostazione del dispositivo.

Dopo il salto potete consultare il video dimostrativo.

Continua a leggere

WPA Tester per iPhone raggiunge la versione 2.0

WPA Tester è la nota applicazione per iPhone che permette di recuperare la chiave WPA della vostra rete Wireless, l’applicativo è stato recentemente aggiornato da Paolo Arduin raggiungendo la versione 2.0.

Le novità della nuova versione sono:

  • Aggiunto supporto per i router: Huawei, Sky, Ono, Tecom, Verizon, Discus, WLAN, JAZZTEL, WiFi, YaCOM, ADSL, D-LINK WIRELESS, BTHomeHub, Eircom, Thomson, SpeedTouch, O2Wireless, Bbox, privat, DMAX, INFINITUM, Orange, BigPond, Otenet.
  • Possibilità di salvare le password in “Archivio”.
  • Possibilità di esportare la lista delle WPA.
  • Grafica rivoluzionata.
  • Piena compatibilità per iPad.
  • Miglioramento degli algoritmi di calcolo.
  • Fix minori.

Potete acquistare l’applicativo direttamente sull’Apple Store.

WPA Tester per iPhone

WPA Tester è un utile Applicazione per iOS sviluppata da Paolo Arduin in grado di recuperare la chiave Wirless inserita di default dal vostro operatore di rete fissa.

Se la tua password di default rientra tra quelle trovate dall’applicazione, si consiglia di entrare nelle impostazioni del router ed inserire una password personale, onde evitare che malintenzionati possano abusare della vostra linea internet!

WPA Tester attualmente supporta: Alice, Fastweb, Infostrada, Dlink.

È possibile effettuare il download dell’applicazione WPA Tester attraverso il Market ufficiale di Apple al costo di €1,59.

Il Team Anonymous attacca Apple

Questa notte il Team Anonymous ha annunciato di aver portato a termine un attacco di tipo SQL Injection nel sito Apple Survey predisposto per raccogliere il grado di soddisfazione degli utenti che usufruiscono del servizio di assistenza tecnica, ottenendo conseguentemente l’accesso al database.

La pagina vulnerabile all’attacco è la seguente: http://abs.apple.com:8080/ssurvey/survey?id= che però è stata prontamente modificata dall’azienda di Cupertino comunicando a tutti gli utenti di accedere ad un nuovo Link per terminare il sondaggio.

Il database che conteneva username e password degli amministratori di rete è reperibile su PasteBin.

Fonte | TheHackerNews

iPad Newspapers Exploit – Full Disclosure

Premessa

A seguito della Responsible Disclosure rilasciata lo scorso 27/11/2010 nella quale dimostravo come era possibile aggirare il sistema di In-App Purchase sui sistemi Apple iOS per la lettura di rivisti e quotidiani sono oggi a pubblicare la Full Disclosure nella quale verrà dimostrato ogni singolo passaggio.

La procedura affligge i principali quotidiani e riviste, i soggetti interessati nella Full Disclosure sono stati preventivamente informati tramite eMail, tramite i canali online del settore Apple e sui loro canali Twitter.

Descrizione

Dopo un’attenta analisi dei pacchetti di rete ricevuti ed inviati (packet sniffer) da ogni singola applicazione è possibile determinare la fonte dei quotidiani o riviste, successivamente è possibile accedere direttamente da Safari o da qualsiasi altro Browser al contenuto desiderato, digitando un semplice indirizzo web, evitando il pagamento tramite l’In-App Purchase del contributo richiesto dall’editore.

Inizialmente è stato analizzato tutto il traffico di rete generato tra l’iPad ed un Access Point Wireless tramite l’applicativo Wireshark scoprendo che viene generato del traffico HTTP,  integrando un semplice filtro è stato possibile ottenere tutti i percorsi necessari per creare la Responsible Disclosure.

Nel video della Full Disclosure ho ritenuto più immediato l’utilizzo di un Proxy HTTP, tramite il software Zaproxy sviluppato dalla OWASP è possibile visualizzare tutte le richieste di tipo GET generate dai vari applicativi, come potete visualizzare una volta ottenuto l’indirizzo “segreto” associato al quotidiano/rivista è possibile digitarlo in un comune browser accedendo al contenuto in maniera completamente gratuita.

Comunemente tutti gli applicativi incriminati procedono a scaricare un indice composto dai seguenti dati:

  • Copertina in Miniatura;
  • Data di pubblicazione;
  • Contributo da addebitare tramite In-App Purchase;
  • URL da utilizzare per il download del contenuto completo.

una volta processato l’acquisto il sistema provvede a scaricare la risorsa completa tramite l’URL contenuto nell’indice.

Per aggirare il pagamento dovremmo pertanto risalire all’URL del nostro contenuto e accederci direttamente da Safari o da un comune Browser (Mozilla Firefox, Chrome, ecc ecc).

La vulnerabilità può essere utilizzata ricorsivamente senza interagire giornalmente con il PC in quando vedremo che gli URL utilizzati sono sempre i medesimi con l’unica differenza che cambia la data in esso contenuta, un URL di esempio è similare a: http://ilnostrocontenuto.distributore.com/ANNO/MESE/GIORNO/CONTENUTO.PDF basterà sostituire ANNO, MESE, GIORNO con i valori interessati per ottenere il quotidiano desiderato, senza l’ausilio di alcun software Proxy o Sniffer.

Il sistema di diffusione cambia leggermente per i distributori ed in particolare:

Paperlit

Azienda che fornisce il servizio a molteplici quotidiani Italiani e Riviste permette di visualizzare l’indice dei contenuti sfruttando un semplice Reader RSS il quale punta direttamente al contenuto completo.

Pagestreamer

Azienda che ha come principale cliente il Sole 24 ore invia all’iPad un file ZIP contenente l’anteprima di ogni singola pagina del quotidiano ed un file .sql contenete un sunto degli articoli e il collegamento alle pagine in formato PDF.

Playsoft.fr

Azienda che prevede il download iniziale della miniatura in formato PDF, successivamente viene scaricato il file PDF contenente la versione completa del contenuto. Per gli applicativi di questa azienda è stato necessario l’utilizzo di un iPad Jailbreaked per determinare il formato del nome del file.

Video Full Disclosure

Risorse Disponibili

Di seguito verranno riportati gli URL necessari per accedere gratuitamente alle riviste o quotidiani evitando il pagamento del contributo richiesto dal fornitore tramite l’In-App Purchase di Apple.

La Repubblica

Quotidiano del Giorno: http://www.paperlit.com/read/repubblica2-nz/

Precedenti Giorni: http://www.paperlit.com/read/repubblica2-nz/YYYY-MM-DD/ con l’accuratezza di sostituire YYYY-MM-DD con il giorno, mese e anno oppure fare riferimento all’indice.

Indice RSS: http://www.paperlit.com/rss/repubblica2-nz/

eMule Magazine

Ultimo Numero: http://www.paperlit.com/read/emule/

Precedenti Numeri: http://www.paperlit.com/read/emule/YYYY-MM-DD/ con l’accuratezza di sostituire YYYY-MM-DD con il giorno, mese e anno oppure fare riferimento all’indice.

Indice RSS: http://www.paperlit.com/rss/emule/

The Times Leader

Quotidiano del Giorno: http://www.paperlit.com/read/TimesLeader/

Precedenti Giorni: http://www.paperlit.com/read/TimesLeader/YYY-MM-DD/ con l’accuratezza di sostituire YYYY-MM-DD con il giorno, mese e anno oppure fare riferimento all’indice.

Indice RSS: http://www.paperlit.com/rss/TimesLeader/

La Provincia di Lecco

Quotidiano del Giorno: http://www.paperlit.com/read/laprovinciadilecco/

Precedenti Giorni: http://www.paperlit.com/read/laprovinciadilecco/YYYY-MM-DD/ con l’accuratezza di sostituire YYYY-MM-DD con il giorno, mese e anno oppure fare riferimento all’indice.

Indice RSS: http://www.paperlit.com/rss/laprovinciadilecco/

La Provincia di Como

Quotidiano del Giorno: http://www.paperlit.com/read/laprovinciadicomo/

Precedenti Giorni: http://www.paperlit.com/read/laprovinciadicomo/YYYY-MM-DD/ con l’accuratezza di sostituire YYYY-MM-DD con il giorno, mese e anno oppure fare riferimento all’indice.

Indice RSS: http://www.paperlit.com/rss/laprovinciadicomo/

La Provincia di Varese

Quotidiano del Giorno: http://www.paperlit.com/read/laprovinciadvarese/

Precedenti Giorni: http://www.paperlit.com/read/laprovinciadivarese/YYYY-MM-DD/ con l’accuratezza di sostituire YYYY-MM-DD con il giorno, mese e anno oppure fare riferimento all’indice.

Indice RSS: http://www.paperlit.com/rss/laprovinciadivarese/

La Provincia di Sondrio

Quotidiano del Giorno: http://www.paperlit.com/read/laprovinciadisondrio/

Precedenti Giorni: http://www.paperlit.com/read/laprovinciadisondrio/YYYY-MM-DD/ con l’accuratezza di sostituire YYYY-MM-DD con il giorno, mese e anno oppure fare riferimento all’indice.

Indice RSS: http://www.paperlit.com/rss/laprovinciadisondrio/

L’eco di Bergamo

Quotidiano del Giorno: http://www.paperlit.com/read/lecodibergamo/

Precedenti Giorni: http://www.paperlit.com/read/lecodibergamo/YYYY-MM-DD/ con l’accuratezza di sostituire YYYY-MM-DD con il giorno, mese e anno oppure fare riferimento all’indice.

Indice RSS: http://www.paperlit.com/rss/lecodibergamo/

Glamour

Ultimo Numero: http://www.paperlit.com/read/glamour/

Precedenti Numeri: http://www.paperlit.com/read/glamour/YYYY-MM-DD/ con l’accuratezza di sostituire YYYY-MM-DD con il giorno, mese e anno oppure fare riferimento all’indice.

Indice RSS: http://www.paperlit.com/rss/glamour/

La Tribuna di Treviso

Quotidiano del Giorno: http://www.paperlit.com/read/latribunaditreviso/

Precedenti Giorni: http://www.paperlit.com/read/latribunaditreviso/YYYY-MM-DD/ con l’accuratezza di sostituire YYYY-MM-DD con il giorno, mese e anno oppure fare riferimento all’indice.

Indice RSS: http://www.paperlit.com/rss/latribunaditreviso/

New York Magazine

Ultimo Numero: http://www.paperlit.com/read/nymag/

Precedenti Numeri: http://www.paperlit.com/read/nymag/YYYY-MM-DD/ con l’accuratezza di sostituire YYYY-MM-DD con il giorno, mese e anno oppure fare riferimento all’indice.

Indice RSS: http://www.paperlit.com/rss/nymag/

Il Messaggero

URL di Accesso: http://ipad.ilmessaggero.it/_deploy/ILM/YYYYMMDD/KKK/pdf/p_XX.pdf

Nell’url bisogna sostituire YYYYMMDD con la data del quotidiano che si desidera scaricare, KKK con l’edizione provinciale prescelta e XX con il numero della pagina.

Es: Per scaricare la prima pagina dell’edizione del 24 Maggio 2011 di Civitavecchia basterà accedere al seguente url:

http://ipad.ilmessaggero.it/_deploy/ILM/20110524/CIV/pdf/p_1.pdf

È possibile leggerlo direttamente dall’iPad senza alcuna modifica, se invece si desidera accedere alla risorsa attraverso un altro dispositivo (PC, Mac, Android, ecc ecc) è necessario variare l’User Agent del Browser con il seguente:

Mozilla/5.0 (iPad; U; CPU OS 4_3_3 like Mac OS X; it-it) AppleWebKit/533.17.9 (KHTML, like Gecko) Mobile/8J3

Versioni Provinciali Disponibili:

  • CIT: Roma
  • CIV: Civitavecchia
  • FROS: Frosinone
  • LAT: Latina
  • RIE: Rieti
  • VIT: Viterbo
  • ABR: Abruzzo
  • MAR: Marche
  • UMB: Umbria
  • ANC: Ancona
  • PES: Pesaro
  • MET: Metropoli – Roma
  • OST: Ostia Litorale

L’Espresso

URL di Accesso: http://ws.ipad.espresso.repubblica.it/_deploy/pdf/YYYYMMDD/p_XX.pdf

Nell’url bisogna sostituire YYYYMMDD con la data del numero che si desidera scaricare e XX con il numero della pagina desiderata.

Es: Per scaricare la prima pagina dell’Espresso del 19 Maggio 2011 basterà accedere al seguente url: http://ws.ipad.espresso.repubblica.it/_deploy/pdf/20110519/p_1.pdf

Corriere della Sera

Il Corriere della Sera sfrutta i Cookie per convalidare l’accesso ai propri contenuti, pertanto per visualizzare il quotidiano dovremo anticipatamente inserire nel nostro browser il seguente cookie:

beRCSapps=RCSapps

avente dominio di appartenenza “.corriere.it” e percorso “/”. Vi ricordo che il nome del Cookie sarà la stringa prima del simbolo uguale mentre il suo valore è ciò che ne segue.

Indice XML: http://media2.corriere.it/mysynd/data/be/pdf2/CORRIEREFC_NAZIONALE_WEB/index.xml

Accedendo al precedente URL è possibile consultare l’indice sfruttato dal software per scaricare il quotidiano richiesto.

Es: Per visualizzare la prima pagina del 25 Maggio 2011 dovremo visitare il seguente url: http://media2.corriere.it/mysynd/data/be/pdf2/CORRIEREFC_NAZIONALE_WEB/20110525/001_25CS001NZSS_1.pdf

Gazzetta dello Sport

La Gazzetta dello Sport sfrutta i Cookie per convalidare l’accesso ai propri contenuti, pertanto per visualizzare il quotidiano dovremo anticipatamente inserire nel nostro browser il seguente cookie:

beRCSapps=RCSapps

avente dominio di appartenenza “.corriere.it” e percorso “/”. Vi ricordo che il nome del Cookie sarà la stringa prima del simbolo uguale mentre il suo valore è ciò che ne segue.

Indice XML: http://media2.corriere.it/mysynd/data/be/pdf2/GAZZETTAFC_NAZIONALE_WEB/index.xml

Accedendo al precedente URL è possibile consultare l’indice sfruttato dal software per scaricare il quotidiano richiesto.

Es: Per visualizzare la prima pagina del 25 Maggio 2011 dovremo visitare il seguente url: http://media2.corriere.it/mysynd/data/be/pdf2/GAZZETTAFC_NAZIONALE_WEB/20110525/001_25GS001NZSS_1.pdf

Il Sole 24 Ore

URL di Accesso: http://ilsole24ore2.pagestreamer.com/deploy/YYYYMMDD/SOLE_SOLE/XXX.pdf

Nell’url bisogna sostituire YYYYMMDD con la data del numero che si desidera scaricare e XXX con il numero della pagina desiderata.

Es: Per scaricare la prima pagina del Sole 24 Ore del 25 Maggio 2011 basterà accedere al seguente url: http://ilsole24ore2.pagestreamer.com/deploy/20110525/SOLE_SOLE/000.pdf

È possibile leggerlo direttamente dall’iPad senza alcuna modifica, se invece si desidera accedere alla risorsa attraverso un altro dispositivo (PC, Mac, Android, ecc ecc) è necessario variare l’User Agent del Browser con il seguente:

Mozilla/5.0 (iPad; U; CPU OS 4_3_3 like Mac OS X; it-it) AppleWebKit/533.17.9 (KHTML, like Gecko) Mobile/8J3

Le Figaro

URL di Accesso: http://lefigaro.playsoft.fr/pdf/LeFigaro_DD-MM-YY.PDF

Nell’url bisogna sostituire DD-MM-YY con la data del numero che si desidera scaricare.

Es: Per scaricare le Figaro del Sole 24 Ore del 25 Maggio 2011 basterà accedere al seguente url: http://lefigaro.playsoft.fr/pdf/LeFigaro_25-05-11.PDF

È possibile leggerlo direttamente dall’iPad senza alcuna modifica, se invece si desidera accedere alla risorsa attraverso un altro dispositivo (PC, Mac, Android, ecc ecc) è necessario variare l’User Agent del Browser con il seguente:

Mozilla/5.0 (iPad; U; CPU OS 4_3_3 like Mac OS X; it-it) AppleWebKit/533.17.9 (KHTML, like Gecko) Mobile/8J3

Conclusioni

Come già avevo anticipato nella Responsible Disclosure il mio intento era esclusivamente quello di incentivare gli sviluppatori a migliorare le loro applicazioni e mi complimento pubblicamente per chi in questi mesi ha migliorato il proprio sistema di diffusione dei contenuti.