Yakın zamanda IEEE Güvenlik ve Gizlilik Sempozyumu'nda Cambridge Üniversitesi Bilgisayar Laboratuvarı'ndan bir grup araştırmacı Akıllı telefonlarda, kullanıcıların internette izlenmesine izin veren ve hâlâ da izin veren yeni bir güvenlik açığı hakkında. Keşfedilen güvenlik açığının Apple ve Google'ın doğrudan müdahalesi olmadan geri döndürülemez olduğu ortaya çıktı ve tüm iPhone modellerinde ve yalnızca Android çalıştıran birkaç akıllı telefon modelinde bulundu. Örneğin Google Pixel 2 ve 3 modellerinde bulunur.
Uzmanlar, güvenlik açığının keşfedildiğini geçen yılın ağustos ayında Apple'a bildirdi ve Google, Aralık ayında bilgilendirildi. Güvenlik açığına SensorID adı verildi ve resmi olarak CVE-2019-8541 olarak adlandırıldı. Apple, Mart ayında iOS 12.2 için yayınladığı yamayla tespit edilen tehlikeyi ortadan kaldırdı. Google ise tespit edilen tehdide henüz yanıt vermedi. Ancak SensorID saldırısı Apple akıllı telefonların hemen hemen tüm modellerinde kolaylıkla gerçekleştirilirken, Android çalıştıran akıllı telefonların çok azında bu saldırıya açık bulunduğunu bir kez daha tekrarlıyoruz.
SensorID nedir? Adından SensorID'nin sensörler için benzersiz bir tanımlayıcı olduğunu anlamak kolaydır. Çoğu durumda belirli bir akıllı telefona karşılık gelen ve dolayısıyla neredeyse her zaman belirli bir kişiye ait olan cihazın bir tür dijital imzası.
Güvenlik araştırmacılarının çabaları sayesinde böyle bir imza, manyetometre, ivmeölçer ve jiroskop sensörlerinin kalibrasyonuna ilişkin bir dizi veriydi (bariz nedenlerden dolayı, sensörlerin üretimine bir dizi parametre eşlik ediyor). Kalibrasyon verileri fabrikada cihazın donanım yazılımına yazılır ve sensörlü akıllı telefonların performansını artırmanıza olanak tanır; böylece konumlandırma doğruluğu ve akıllı telefonun hareketlere tepkisi artar. Herhangi bir tarayıcıyı kullanarak İnternette bir sayfayı görüntülerken veya bir uygulamayı başlatırken, elinizdeki akıllı telefon nadiren hareketsiz kalır. Siteler, akıllı telefona uyum sağlamak için kalibrasyon verilerini serbestçe okur ve bu neredeyse anında gerçekleşir. Bu tanımlayıcı daha sonra diğer sitelerde önceden tanımlanmış bir kullanıcıyı izlemek için kullanılabilir. Nereye gidiyor, neyle ilgileniyor. Bu yöntem hedefli reklamcılık için kesinlikle iyidir. Ayrıca, basit eylemler yoluyla böyle bir tanımlayıcı, ortaya çıkan tüm sonuçlarla birlikte bir kişiye bağlanabilir.
Apple akıllı telefonlarının SensorID saldırısına karşı toplam savunmasızlığı, neredeyse tüm iPhone'ların, sensörlerin fabrika kalibrasyonu da dahil olmak üzere üretimi oldukça yüksek kalitede olan birinci sınıf cihazlar olarak sınıflandırılabilmesiyle açıklanmaktadır. Bu durumda bu titizlik şirketi başarısızlığa uğrattı. Fabrika ayarlarına sıfırlama bile SensorID dijital imzasını silmez. Android çalıştıran akıllı telefonlar başka bir konudur. Çoğunlukla bunlar, fabrika ayarlarına nadiren sensör kalibrasyonu eşlik eden ucuz cihazlardır. Sonuç olarak çoğu Android akıllı telefon, SensorID saldırısı gerçekleştirmek için dijital bir imzaya sahip değildir, ancak premium cihazların uygun kalitede bir araya getirileceği garanti edilir ve kalibrasyon verilerine göre saldırıya uğrayabilir.
Kaynak: 3dnews.ru