تمكن ستة باحثين جامعيين من اختراق سلسلة مفاتيح آي كلاود Keychain الخاصة بآبل، واكتشاف ثغرة تمكن المخترقين من سرقة كلمات مرور المستخدم، وقام الباحثون من صنع تطبيق يحتوي على هذه البرمجيات الخبيثة لتجربة الثغرة.
واستطاع الباحثون تجاوز مراجعة آبل للتطبيقات، وتمكنوا من نشر التطبيق الخبيث عبر متجر التطبيقات في iOS و OS X، وتتيح الثغرة للقراصنة والمهاجمين اختراق خدمة آبل لحفظ كلمات المرور iCloud Keychain، وسرقة كافة كلمات المرور الخاصة بالمستخدم، مما قد يوقع هذه البرمجيات الخبيثة في أيدي أي مستخدم عادي يحمل تطبيقات خبيثة بدون علمٍ منه.
وتمكن الباحثون كذلك من سرقة كلمات المرور من أي تطبيق آخر على الجهاز، واخترقوا أنظمة الحماية الخاصة بالتطبيقات وحصلوا على كلمات المرور من التطبيقات المنزلة مسبقاً أو من تطبيقات الطرف الثالث.
وذكر أحد الباحثين لموقع بريطاني قائلاً: “اكتشفنا مؤخراً مجموعة من نقاط الضعف بخصوص الأمان في نظامي OS X للحواسيب، ونظام iOS لأجهزة آيفون وآيباد، وتسمح نقاط الضعف هذه للتطبيقات الخبيثة بالوصول غير الموثق إلى بيانات حساسة في التطبيقات الأخرى مثل كلمات المرور لخدمة آي كلاود وتطبيق البريد وكلمات المرور المخزنة على متصفح كروم”.
وأضاف قائلاً: “وحددنا على نقاط ضعف جديدة في آليات الاتصال بين التطبيقات على نظامي iOS و OS X، تنيح الحصول على معلومات سرية من تطبيقات مثل فيس بوك وإيڤرنوت وبعض التطبيقات رفيعة المستوى الأخرى”.
وقالت شركة AgileBits الصانعة لتطبيق 1Password الشهير لحفظ كلمات المرور، أن ثغرةً بهذا الحجم لا يمكن حلها من قِبل صانعي التطبيقات، بل يجب حل المشكلة من آبل على مستوى النظام ككل.
