[Linuxtrent] Re: Hacking Team "hackerati"
- From: Enrico <enrico@xxxxxxxxx>
- To: linuxtrent@xxxxxxxxxxxxx
- Date: Tue, 7 Jul 2015 14:25:05 +0200
On 07 Jul 2015, at 13:59, Roberto Resoli <roberto@xxxxxxxxxxxxxx> wrote:
Il 07/07/2015 13:51, Roberto Resoli ha scritto:
[1] https://www.schneier.com/blog/archives/2015/07/hacking_team_is.html
La postilla di Schneier: "Hacking Team had no exploits for an un-jail-broken
iPhone. Seems like the platform of choice if you want to stay secure."
Sembra del tutto infondata, stando a quanto dice Attivissimo:
"Apple avrebbe dato[1] a Hacking Team un certificato digitale come iOS
enterprise developer per firmare le app e quindi farle sembrare sicure e
approvate: Subject: UID=DE9J4B8GTF, CN=iPhone Distribution: HT srl,
OU=DE9J4B8GTF, O=HT srl, C=IT. Da quel che ho capito (grazie a Manuel W e
Maurizio C), questo in teoria avrebbe permesso a Hacking Team di inviare alla
vittima via mail o postare su un sito (non nell'App Store) un'app ostile per
iPhone/iPad che il dispositivo e la vittima avrebbero ritenuto sicura perché
firmata col certificato, bypassando così i controlli che rendono difficile
installare malware nei dispositivi iOS. Sarà interessante vedere la reazione
di Apple."
[1] https://twitter.com/fredericjacobs/status/618068784046342144
Il modo per entrare senza permesso ci sarà anche in iOS ma, giusto per la
cronaca, il certificato Enterprise per la distribuzione di app al di fuori
dello store Apple lo può richiedere qualsiasi azienda
(
https://developer.apple.com/programs/enterprise/, l'ho fatto anche io tempo
fa, ci sono solo un po' di questioni burocratiche in più rispetto al profilo
sviluppatore normale).
Al momento del primo lancio, viene chiesto all'utente se ritiene attendibile il
contenuto dello sviluppatore XYZ e solo se l'utente da l'ok esplicito, l'app
parte.
Fino ad iOS 7 era poi possibile vedere sempre con facilità quali profili sono
installati e attivi (Impostazioni > Generali > Profili), mentre con iOS 8 è
diventato necessario usare l'ambiente di sviluppo XCode (solo per macosx)
oppure la più snella applicazione (sempre solo per macosx) "Apple Configurator".
/enrico/
--
Per iscriversi (o disiscriversi), basta spedire un messaggio con OGGETTO
"subscribe" (o "unsubscribe") a
mailto:linuxtrent-request@xxxxxxxxxxxxx
Other related posts:
