วีดีโอ: Получаем сертификат разработчика IOS бесплатно (ธันวาคม 2024)
ในขณะที่ "ผู้บุกรุก" ที่เข้าถึงศูนย์นักพัฒนาของ Apple กลายเป็นเพียงผู้ทดสอบการเจาะระบบ แต่การโจมตีไซต์นักพัฒนาซอฟต์แวร์อาจส่งผลร้ายแรงเกินกว่าจะขโมยข้อมูลส่วนบุคคล
Apple ปิดเว็บไซต์ผู้พัฒนา Mac, iPhone และ iPad เมื่อวันพฤหัสบดีที่ผ่านมาโดยบอกว่ามันทำการบำรุงรักษาที่ไม่ได้กำหนดไว้ มันไม่ให้ข้อมูลอื่น ๆ และนักพัฒนาก็เริ่มวิตกกังวลเกี่ยวกับการหยุดทำงานนานขึ้น นักพัฒนาเหล่านี้ไม่สามารถทำงานกับรหัสใหม่ตรวจสอบสถานะของแอพที่มีอยู่หรือจัดการบัญชีของพวกเขา
"เมื่อวันพฤหัสบดีที่ผ่านมาผู้บุกรุกพยายามรักษาความปลอดภัยข้อมูลส่วนบุคคลของนักพัฒนาที่ลงทะเบียนของเราจากเว็บไซต์นักพัฒนาของเรา" ในที่สุด Apple ก็บอกนักพัฒนาผ่านทางอีเมล์ในเย็นวันอาทิตย์ ในขณะที่ข้อมูลที่สำคัญถูกเข้ารหัสและไม่สามารถเข้าถึงได้ บริษัท กล่าวว่า "อาจมีการเข้าถึงชื่อผู้พัฒนาที่อยู่ทางไปรษณีย์และ / หรือที่อยู่อีเมล"
ไม่ใช่การโจมตีที่เป็นอันตราย?
Ibrahim Balic ผู้ทดสอบการเจาะที่อาศัยอยู่ในลอนดอนได้รับการยกเว้นว่าเป็นผู้บุกรุก บริษัท ต่างๆจ้างบาลิคเพื่อหาช่องโหว่ในระบบของพวกเขาอยู่เป็นประจำและเขาเพิ่งตัดสินใจดูที่เว็บไซต์ของ Apple เขาพบข้อบกพร่องทั้งหมด 13 ข้อซึ่งทั้งหมดได้รับรายงานโดยใช้โปรแกรมรายงานบั๊กออนไลน์เขากล่าว สี่ชั่วโมงหลังจากรายงานบั๊กครั้งล่าสุดของเขาพอร์ทัลก็ถูกถอดออก
"Apple !! นี่ไม่ใช่การแฮ็คอย่างแน่นอน !! ฉันไม่ใช่แฮกเกอร์ฉันทำการวิจัยด้านความปลอดภัย" Ibrahim Balic เขียนบน Twitter
Balic กล่าวว่า Apple ไม่ตอบสนองต่อรายงานข้อผิดพลาดของเขา "ฉันไม่ได้ทำการวิจัยนี้เพื่อเป็นอันตรายหรือเสียหาย" เขากล่าวในความคิดเห็นที่โพสต์บน TechCrunch เขาสร้างวิดีโอ YouTube เพื่อแสดงว่าเขาเข้าถึงข้อมูลผู้พัฒนาได้อย่างไร แต่เอามาลงหลังจากตระหนักว่าเขาไม่ได้ปิดบังชื่อและรายละเอียดของนักพัฒนาแต่ละคน
ทำไมนักพัฒนาเป้าหมายถึงยังอยู่?
Balic อาจไม่ได้ตั้งใจทำอะไรที่เป็นอันตรายในระหว่างการจู่โจมเข้าสู่เซิร์ฟเวอร์ของ Apple แต่นักพัฒนากำลังถูกกำหนดเป้าหมายมากขึ้น Canonical เปิดเผยว่าฟอรัม Ubuntu ถูกละเมิดช่วงสุดสัปดาห์ที่ผ่านมา การโจมตีเหล่านี้ไม่แตกต่างจากการโจมตีในเว็บไซต์อื่น ๆ ในเหตุการณ์ก่อนหน้านี้ผู้ใช้เหล่านี้มีความเสี่ยงต่อการถูกโจมตีทางวิศวกรรมสังคมเช่นการรีเซ็ตรหัสผ่านปลอม ผู้โจมตีอาจพยายามเข้าสู่เว็บไซต์อื่นด้วยข้อมูลประจำตัวที่ถูกขโมย
พอร์ทัลนักพัฒนาเป็น "ฮับ" ที่มีผู้ใช้จากองค์กรต่าง ๆ มากมาย Mike Lloyd, CTO ของเครือข่าย RedSeal กล่าว ผู้โจมตีอาจไม่สนใจข้อมูลจริงที่เก็บไว้ในเว็บไซต์ของผู้พัฒนาเอง แต่ข้อมูลประจำตัวสำหรับเข้าสู่ระบบที่อาจทำงานบนไซต์อื่น ๆ ได้ลอยด์กล่าว “ หากคุณสามารถประนีประนอมรายละเอียดบัญชีในเว็บไซต์ฮับราคาต่อรองเป็นสิ่งที่ดีที่ตอนนี้คุณมีการเข้าสู่ระบบที่ถูกต้องสำหรับ บริษัท อื่นจำนวนมาก” ลอยด์กล่าว
เมื่อต้นปีที่ผ่านมาฟอรัมนักพัฒนา iOS ได้ถูกโจมตีและติดไวรัสพนักงานที่ Twitter, Facebook และอื่น ๆ ที่มีมัลแวร์ Lee Weiner รองประธานอาวุโสฝ่ายผลิตภัณฑ์และวิศวกรรมของ Rapid7 กล่าวว่าผู้โจมตีเป้าหมายเว็บไซต์นักพัฒนาของ Apple อาจสนใจที่จะเปิดตัวการโจมตีแบบเจาะรูเพื่อเจาะกลุ่มผู้พัฒนาที่ บริษัท อื่น ๆ
Michael Sutton รองประธานฝ่ายวิจัยความปลอดภัยของ Zscaler กล่าวว่าผู้โจมตีที่ถูกขโมยบัญชีนักพัฒนาของ Apple ที่ถูกขโมยจะสามารถอัพโหลดแอปพลิเคชั่นที่อาจเป็นอันตรายได้
เนื่องจากบัญชีมีใบรับรองการลงนามของนักพัฒนาสำหรับแอปที่ได้รับการอนุมัติจึงมีความเสี่ยงที่ผู้โจมตีอาจเซ็นชื่อแอปที่เป็นอันตรายโดยใช้ใบรับรองที่ถูกกฎหมาย Tommy Chin วิศวกรฝ่ายสนับสนุนด้านเทคนิคของ CORE Security กล่าว "แอพปลอมที่ได้รับการรับรองความถูกต้องใน Appstore จะปรากฏขึ้นหาก Apple ไม่ทำให้พอร์ทัลไม่ทำงานจนกว่าจะได้รับการแก้ไข" Chin กล่าว
“ การโจมตีเกิดขึ้นในเวลาที่เลวร้ายสำหรับ Apple เนื่องจากมันบังคับให้พวกเขาทำการพัฒนาพอร์ทัลออฟไลน์เนื่องจากนักพัฒนากำลังเตรียมแอปพลิเคชั่นสำหรับ iOS 7 ซึ่งกำหนดไว้สำหรับการเปิดตัวในฤดูใบไม้ร่วง” Sutton กล่าว
