Hiljuti osales IEEE turvalisuse ja privaatsuse sümpoosionil rühm teadlasi Cambridge'i ülikooli arvutilaborist. nutitelefonide uuest haavatavusest, mis võimaldas ja võimaldab siiani kasutajaid Internetis jälgida. Avastatud haavatavus osutus ilma Apple'i ja Google'i otsese sekkumiseta pöördumatuks ning seda leiti kõigis iPhone'i mudelites ja vaid mõnes Androidiga töötava nutitelefoni mudelis. Näiteks leidub seda Google Pixel 2 ja 3 mudelites.
Eksperdid teatasid haavatavuse avastamisest Apple'ile eelmise aasta augustis ja Google'ile teatati detsembris. Haavatavuse nimi oli SensorID ja ametlik nimetus CVE-2019-8541. Apple kõrvaldas tuvastatud ohu märtsis iOS 12.2 jaoks mõeldud plaastri väljalaskmisega. Mis puutub Google'i, siis see pole tuvastatud ohule veel reageerinud. Siiski kordame veel kord, et kuigi SensorID rünnak oli peaaegu kõigi Apple'i nutitelefonide mudelite puhul hõlpsasti teostatav, leiti, et väga vähesed Androidiga töötavad nutitelefonid olid selle suhtes haavatavad.
Mis on SensorID? Nime järgi on lihtne aru saada, et SensorID on andurite unikaalne identifikaator. Seadme omamoodi digitaalallkiri, mis enamikul juhtudel vastab konkreetsele nutitelefonile ja kuulub seetõttu peaaegu alati konkreetsele isikule.
Tänu turvateadlaste jõupingutustele sai selliseks allkirjaks magnetomeetri, kiirendusmõõturi ja güroskoopandurite kalibreerimise andmete kogum (arusaadavatel põhjustel kaasneb andurite tootmisega parameetrite hajumine). Kalibreerimisandmed kirjutatakse tehases seadme püsivarasse ja need võimaldavad teil parandada anduritega nutitelefonide jõudlust - suurendades positsioneerimise täpsust ja nutitelefoni reageerimist liigutustele. Internetis lehte vaadates mis tahes brauseriga või rakendust käivitades jääb teie käes olev nutitelefon harva liikumatuks. Saidid loevad vabalt kalibreerimisandmeid, et kohaneda nutitelefoniga ja see juhtub peaaegu kohe. Seda identifikaatorit saab seejärel kasutada juba tuvastatud kasutaja jälgimiseks teistel saitidel. Kus ta käib, mis teda huvitab. See meetod on kindlasti hea suunatud reklaami jaoks. Samuti saab lihtsate toimingute abil siduda sellise tunnuse inimesega koos kõigi sellest tulenevate tagajärgedega.
Apple'i nutitelefonide täielik haavatavus SensorID rünnaku suhtes on seletatav sellega, et pea kõik iPhone'id on liigitatavad premium-seadmete hulka, mille valmistamine, sealhulgas andurite tehasekalibreerimine, on küllaltki kvaliteetne. Antud juhul vedas see täpsus ettevõttele alt. Isegi tehase lähtestamine ei kustuta SensorID digiallkirja. Androidiga töötavad nutitelefonid on teine teema. Enamasti on tegemist odavate seadmetega, mille tehaseseadetega kaasneb harva andurite kalibreerimine. Seetõttu puudub enamikul Android-nutitelefonidel SensorID rünnaku läbiviimiseks digiallkiri, kuigi esmaklassilised seadmed on garanteeritud korraliku kvaliteediga kokkupandud ja neid saab rünnata kalibreerimisandmete põhjal.
Allikas: 3dnews.ru