Вот мы и перевернули календарь, а это значит, что нас снова ждёт неделя новостей об Apple. Или даже две, так как ровно через семь дней состоится традиционный анонс новых «айфонов». После которого, как известно, несколько дней будут гореть костры комментариев. Но обсуждать слухи и утечки не очень интересно. Тем более, что тренды давно понятны и какие-то конкретные детали вряд ли повлияют на итоговую картину.
Куда как интересней находка специалистов по безопасности из гугловского подразделения Threat Analysis Group. Они обнаружили, что существуют работоспособные цепочки из эксплойтов, позволяющие взломать и получить полный контроль над iPhone (при открытии специально созданных веб-страниц). При этом никаких действий от пользователя не требуется. Более того, такие страницы существуют в Сети и посещение этих веб-сайтов действительно приводит к тому, что вредоносное ПО получает контроль над смартфоном или планшетом втайне от пользователя. Исследователи сообщили о своей находке коллегам из Apple и они спешно выпустили обновление iOS под номером 12.1.4. Которое, как утверждается, полностью закрывает найденные уязвимости.
С одной стороны, это, конечно, очень серьёзный удар по репутации Apple. И так совпало, что он случился как раз перед анонсом ключевых продуктов компании. Возможно, что это совпадение и, на самом деле, уязвимости были найдены буквально пару недель назад, а Apple сразу же была поставлена в известность. С другой — существуют негласные правила, по которым публике о таких находках сообщают с задержкой не менее чем в 90 дней. Для того, чтобы вендоры могли предпринять исчерпывающие меры. Но угроза была столь серьёзной, что молчать было нельзя. И буквально через несколько дней после выхода исправления iOS, команда «Гугла» опубликовала подробности.
Они оказались очень любопытны. Во-первых, цепочки реально использовались злоумышленниками, это не какие-то демонстрационные прототипы. Во-вторых, они использовались более двух лет. И в-третьих, чуть позже выяснилось, что они использовались китайскими властями для того, чтобы устанавливать контроль над частной жизнью уйгуров в Синьцзян-Уйгурском автономном районе.
Тут можно порассуждать о том, как не одиночный эксплойт, а целые цепочки могли годами оставаться работоспособными и в Apple ничего не замечали? Или о талантах китайских правительственных хакеров, так удачно нашедших серию уязвимостей «нулевого дня». И нет ли тут каких совпадений по времени с переговорами Тима Кука и китайских властей? Ведь тогда казалось, что у Apple и китайского правительства всё всерьёз.
В этой ситуации настоящее восхищение вызывает «Гугл». Безупречный тайминг, превосходная подача. Смотрите сами: одна публикация и какой результат.
Во-первых был продемонстрирован высочайший уровень квалификации своей команды безопасности, которая благородно защитила пользователей конкурента от очень серьёзной угрозы.
Во-вторых, доказано, что сам конкурент её не замечал годами. И это сделано в кратковременный момент затишья прямо перед релизом новых продуктов. Напомним, что один из основных слоганов новой рекламной кампании Apple звучит как «Всё, что происходит на вашем iPhone, остаётся на вашем iPhone».
В-третьих, общественности ещё раз напомнили об обвинениях в адрес китайских властей в нарушении прав уйгуров. Что, как известно, является прекрасным поводом для санкций.
В-четвёртых, лишили китайцев одного из инструментов удалённого контроля над iPhone. Так как выход обновления iOS делает невозможным эксплуатацию этих уязвимостей.
Ну, ведь на самом деле — это очень красиво. Почти как костры рябин.
Автор: Контент-Ревью.