כל מכשירי האייפון וכמה סמארטפונים אנדרואיד היו חשופים להתקפות חיישנים

לאחרונה, בסימפוזיון IEEE בנושא אבטחה ופרטיות, קבוצת חוקרים ממעבדת המחשבים של אוניברסיטת קיימברידג' סיפר על פגיעות חדשה בסמארטפונים שאפשרה ועדיין מאפשרת מעקב אחר משתמשים באינטרנט. הפגיעות שהתגלתה התבררה כבלתי הפיכה ללא התערבות ישירה של אפל וגוגל ונמצאה בכל דגמי האייפון ורק בדגמים בודדים של סמארטפונים המריצים אנדרואיד. לדוגמה, הוא נמצא בדגמי Google Pixel 2 ו-3.

מומחים דיווחו על גילוי הפגיעות לאפל באוגוסט בשנה שעברה, וגוגל קיבלה הודעה בדצמבר. הפגיעות נקראה SensorID וסומנה רשמית CVE-2019-8541. אפל ביטלה את הסכנה שזוהתה עם שחרורו של תיקון עבור iOS 12.2 במרץ. באשר לגוגל, היא עדיין לא הגיבה לאיום שזוהה. עם זאת, אנו חוזרים שוב על כך שבעוד שהתקפת SensorID בוצעה בקלות כמעט בכל דגמי הסמארטפונים של אפל, מעט מאוד סמארטפונים המריצים אנדרואיד נמצאו פגיעים לכך.

מהו SensorID? מהשם קל להבין ש-SensorID הוא מזהה ייחודי לחיישנים. מעין חתימה דיגיטלית של המכשיר, שמתאימה ברוב המקרים לסמארטפון ספציפי ולכן, כמעט תמיד שייכת לאדם ספציפי.

הודות למאמצים של חוקרי אבטחה, חתימה כזו הייתה סט של נתונים על כיול של חיישני מגנומטר, מד תאוצה וג'ירוסקופ (מסיבות ברורות, ייצור חיישנים מלווה בפיזור של פרמטרים). נתוני הכיול נכתבים בקושחת המכשיר במפעל, ומאפשרים לך לשפר את הביצועים של סמארטפונים עם חיישנים - להגביר את דיוק המיקום ואת תגובת הטלפון החכם לתנועות. בעת צפייה בדף באינטרנט באמצעות כל דפדפן או בעת הפעלת אפליקציה, הסמארטפון בידיים שלך רק לעתים רחוקות נשאר ללא תנועה. אתרים קוראים בחופשיות נתוני כיול כדי להתאים את עצמם לסמארטפון וזה קורה כמעט באופן מיידי. לאחר מכן ניתן להשתמש במזהה זה כדי לעקוב אחר משתמש שכבר מזוהה באתרים אחרים. לאן הוא הולך, במה הוא מתעניין. שיטה זו בהחלט טובה לפרסום ממוקד. כמו כן, באמצעות פעולות פשוטות, ניתן לקשר מזהה כזה לאדם עם כל ההשלכות הנובעות מכך.

הפגיעות הכוללת של סמארטפונים של אפל למתקפת SensorID מוסברת בכך שכמעט כל מכשירי האייפון יכולים להיות מסווגים כמכשירי פרימיום, שייצורם, כולל כיול חיישנים במפעל, הוא באיכות גבוהה למדי. במקרה זה, הקפדה זו הכשילה את החברה. אפילו איפוס להגדרות היצרן אינו מוחק את החתימה הדיגיטלית של SensorID. סמארטפונים המריצים אנדרואיד הם עניין אחר. לרוב, מדובר במכשירים זולים, שהגדרות היצרן שלהם מלוות רק לעתים רחוקות בכיול חיישנים. כתוצאה מכך, לרוב סמארטפונים אנדרואיד אין חתימה דיגיטלית לביצוע מתקפת SensorID, אם כי מובטח שמכשירי פרימיום מורכבים באיכות הראויה וניתן לתקוף אותם על סמך נתוני כיול.

מקור: 3dnews.ru