Clear
Lead Graphic Papers

ผู้ใช้ iOS ระวังถูกขโมย Account

ผู้เขียน: ทีมไทยเซิร์ต
วันที่เผยแพร่: 11 เม.ย. 2555
ปรับปรุงล่าสุดวันที่: 11 เม.ย. 2555

Share on Facebook Share on Twitter Share on Google+

เมื่อวันที่ 3 เมษายน 2555 นาย Gareth Wright นักออกแบบและพัฒนาเว็บไซต์ ได้ค้นพบช่องโหว่ของแอปพลิเคชั่น Facebook บนระบบปฏิบัติการ iOS ซึ่งเก็บข้อมูลการล็อกอินของผู้ใช้ไว้ในตัวเครื่องโดยไม่มีการเข้ารหัสลับ อีกทั้งยังไม่มีการป้องกันการคัดลอกข้อมูลออกจากตัวเครื่อง ทำให้ผู้ไม่หวังดีสามารถขโมยไฟล์ที่เก็บข้อมูลการล็อกอินจากเครื่องของเหยื่อไปใส่ในเครื่องของตนเอง แล้วสวมรอยเป็นผู้ใช้คนนั้นได้อย่างง่ายดาย เขาได้แจ้งช่องโหว่ดังกล่าวไปยัง Facebook แต่ได้รับการตอบกลับมาว่า ช่องโหว่มีผลกับอุปกรณ์ iOS ที่ถูก Jailbreak แล้วเท่านั้น (ความหมายของ Jailbreak สามารถศึกษาได้จากหัวข้อ "Jailbreak คืออะไร" ด้านล่าง) แต่นาย Gareth Wright ยืนยันว่าช่องโหว่นี้มีผลกับอุปกรณ์ iOS ทุกเครื่อง รวมทั้งเครื่องที่ไม่ได้ Jailbreak ด้วย [1]

Jailbreak คืออะไร

Jailbreak (เจลเบรค) หรือแปลตรงตัวว่าการแหกคุก ถูกนำมาใช้เป็นคำศัพท์เพื่ออธิบายถึงวิธีการปลดล๊อกการทำงานของอุปกรณ์ที่ใช้งานระบบปฏิบัติการณ์ iOS โดยตัวอย่างอุปกรณ์ดังกล่าวเช่น iPhone iPad iPod เป็นต้น จุดประสงค์เพื่อให้ได้มาซึ่งสิทธิในการติดตั้งแอฟพลิเคชันที่อยู่นอกเหนือความรับผิดชอบของ App Store ซึ่งนั่นเท่ากับว่าเมื่อมีการ Jailbreak แล้ว อุปกรณ์ดังกล่าวจะสามารถติดตั้งแอฟพลิเคชันจากแหล่งที่มาอื่นๆได้ทันที หรือบางครั้งเรียกว่าเป็นแหล่งดาวน์โหลดเถื่อนก็ว่าได้ ผู้ใช้งานที่ต้องการ Jailbreak ส่วนใหญ่มักมีความต้องการในการใช้งานแอฟพลิเคชันที่มีความสามารถพิเศษ เช่น แอฟพลิเคชันที่สามารถเปลี่ยนฟ้อนท์บนโทรศัพท์ได้ หรือแอฟพลิเคชันลิขสิทธิ์ที่เปิดให้ดาวน์โหลดฟรี (แอฟพลิเคชันที่มีลิขสิทธิ์บางส่วนใน App Store ต้องเสียค่าใช้จ่าย) แต่อย่างไรก็ตามสิ่งที่ตามมาภายหลังจากการ Jailbreak คืออุปกรณ์ดังกล่าวจะหมดอายุการรับประกันในทันทีเนื่องจากเป็นการละเมิดรูปแบบของสัญญาการให้บริการ และที่สำคัญที่สุดคืออุปกรณ์ดังกล่าว จะมีความเสี่ยงด้านความมั่นคงปลอดภัยที่สูงมาก ทั้งจากการที่ไม่ได้รับการดูแลเรื่องความมั่นคงปลอดภัยจากผู้พัฒนา (Apple) และด้วยเหตุผลที่อุปกรณ์ดังกล่าวสามารถติดตั้งแอฟพลิเคชันใดๆก็ได้รวมถึงสิทธิที่แอฟพลิเคชันนั้นสามารถทำได้แบบไม่จำกัด และไม่มีการตรวจสอบจากทีมงานใดๆ จึงทำให้มีความเป็นไปได้สูงว่าแอฟพลิเคชันเถื่อนต่างๆเหล่านั้นจะมีการลักลอบฝังส่วนประกอบอันตรายลงในแอฟพลิเคชัน และเมื่อมีการติดตั้งแอฟพลิเคชันดังกล่าวก็อาจถูกผู้ไม่ประสงค์ดีเข้าควบคุมอุปกรณ์จากระยะไกล หรือขโมยข้อมูลต่างๆของผู้ใช้งานออกไปได้อย่างง่ายดายทันที

ทดสอบช่องโหว่

เพื่อตอบข้อสงสัยเหล่านี้ ทางทีมไทยเซิร์ตจึงได้ทำการทดสอบช่องโหว่ดังกล่าว โดยอุปกรณ์ที่ใช้ในการทดสอบ ประกอบด้วย iPod Touch Gen 4, iPhone 4 และ iPhone 4S โดยทำการอัพเดตเฟิร์มแวร์ให้เป็นเวอร์ชั่นล่าสุด คือ iOS เวอร์ชั่น 5.1 (9B176) และติดตั้งแอปพลิเคชั่น Facebook เวอร์ชั่น 4.1.1 (อัพเดทล่าสุด 2 เมษายน 2012) โดยอุปกรณ์ทุกเครื่องไม่ได้ทำการ Jailbreak แต่อย่างใด

ทีมไทยเซิร์ตได้ทำการทดสอบโดยการล็อกอินผ่านแอปพลิเคชั่น Facebook ในเครื่อง iPod แล้วนำไฟล์ที่เก็บข้อมูลการล็อกอินไปแทนที่ไฟล์ชื่อเดียวกันที่อยู่ในอุปกรณ์ iPhone ดังแสดงในรูปที่ 1 ปรากฏว่าเครื่อง iPhone สามารถเข้าใช้งานบัญชี Facebook ที่ถูกล็อกอินในอุปกรณ์ iPod ได้ทันที และสามารถทำงานได้เสมือนกับเจ้าของ Account เป็นผู้ล็อกอินในเครื่องนั้นโดยตรง ไม่ว่าจะเป็นการอ่าน โพสต์ข้อความ หรือแม้กระทั่งการยกเลิก Account ยกเว้นแต่การเปลี่ยนอีเมลที่ผูกกับ Account จะไม่สามารถทำได้ เนื่องจากแอปพลิเคชั่น Facebook จะขอให้ใส่ Password เพื่อเป็นการยืนยันอีกครั้งหนึ่ง รวมถึงไม่สามารถเปลี่ยน Password ได้ เนื่องจากแอปพลิเคชั่น Facebook ไม่รองรับการกระทำดังกล่าว

Pp2012no0006-1.jpg
รูปที่ 1 แสดงการนำไฟล์ที่เก็บข้อมูลการล็อกอินจากเครื่อง iPod ไปใส่ในเครื่อง iPhone

และจากการทดสอบเพิ่มเติมกับแอปพลิเคชั่น Dropbox และ Gmail พบว่าสามารถสวมรอยการใช้งานได้เช่นเดียวกับแอปพลิเคชั่น Facebook และมีความเป็นไปได้สูงว่าจะพบแอปพลิเคชั่นอื่นๆ ที่มีจุดอ่อนแบบเดียวกัน ซึ่งจะส่งผลอันตรายกับผู้ใช้งาน หากถูกผู้ไม่หวังดีขโมยอุปกรณ์ iOS หรือนำอุปกรณ์ iOS ไปเชื่อมต่อเข้ากับเครื่องคอมพิวเตอร์ที่สามารถคัดลอกข้อมูลออกจากตัวเครื่องได้

ในการทดสอบครั้งนี้ ทีมไทยเซิร์ตได้ใช้โปรแกรม iExplorer ในการเข้าถึงข้อมูลของอุปกรณ์ iOS ซึ่งโปรแกรมดังกล่าวสามารถเข้าถึงข้อมูลไฟล์การตั้งค่าของแอปพลิเคชั่นบนอุปกรณ์ iOS ได้ทั้งหมด ดังรูปที่ 2 และยังพบว่าโปรแกรมนี้สามารถมองเห็นข้อมูลดังกล่าวได้ทันทีที่เชื่อมต่ออุปกรณ์เข้ากับเครื่องคอมพิวเตอร์ผ่านสาย USB ถึงแม้อุปกรณ์ iOS นั้นจะไม่ได้ผ่านการ Jailbreak ก็ตาม ซึ่งผู้ใช้รวมถึงผู้พัฒนาแอปพลิเคชั่นบางรายยังคงมีความเข้าใจผิดว่าไฟล์ต่างๆ เหล่านี้จะไม่สามารถมองเห็นได้หากอุปกรณ์ iOS ยังไม่ได้ Jailbreak

Pp2012no0006-2.jpg
รูปที่ 2 แสดงการใช้โปรแกรม iExplorer ในการเข้าถึงข้อมูลที่อยู่ในอุปกรณ์ iOS

สาเหตุของปัญหา เกิดจากการที่แอปพลิเคชั่นหลายตัว เก็บข้อมูลการล็อกอินไว้ในไฟล์นามสกุล .plist ซึ่งเป็นไฟล์ที่ระบบปฎิบัติการ iOS ใช้ในการเก็บข้อมูลของแต่ละแอปพลิเคชั่น เช่น สถานะการล็อกอิน เป็นต้น โดยไม่ได้มีการป้องกันที่เหมาะสม จึงทำให้ผู้ไม่หวังดีสามารถขโมยไฟล์ข้อมูลดังกล่าวไปใช้งานได้ทันที

ดังนั้น ผู้ใช้งานอุปกรณ์ iOS ต้องพึงระวังไว้ว่า อย่าปล่อยให้อุปกรณ์อยู่ห่างตัวเป็นอันขาด และผู้ใช้ควรมีความตระหนักในการใช้งานโดยทำการล็อกเอาท์จากแอปพลิเคชั่นทุกครั้งเมื่อเลิกใช้ หรือหากผู้ใช้งานสงสัยว่าจะถูกขโมย Account ด้วยวิธีนี้ ผู้ใช้สามารถแก้ไขได้โดยการเปลี่ยนรหัสผ่าน ซึ่งจะทำให้ไฟล์ที่เก็บข้อมูลการล็อกอินที่ถูกขโมยไปไม่สามารถใช้งานได้อีก แต่อย่างไรก็ตามวิธีการดังกล่าว จากการทดสอบของทีมไทยเซิร์ต พบว่าสามารถใช้ได้กับแอปพลิเคชั่น Facebook และ Gmail แต่สำหรับ แอปพลิเคชั่น Dropbox ต้องใช้วิธี Unlink ออกจาก Account ของ Dropbox [2] หากสงสัยว่าถูกขโมยไฟล์ที่เก็บข้อมูลการล็อกอิน

จากรายงานของ The Next Web ระบุว่า Dropbox ทราบปัญหาดังกล่าวแล้ว และจะแก้ไขปัญหานี้ในเวอร์ชั่นถัดไป โดยจะมีการปรับปรุงการเก็บข้อมูลให้ปลอดภัยมากยิ่งขึ้น [3] ส่วน Facebook ยังไม่มีรายงานการแก้ไขแต่อย่างใด ซึ่งหากมีความคืบหน้าในกรณีนี้ ทาง ทีมไทยเซิร์ตจะนำมาแจ้งให้ทราบต่อไป

อ้างอิง

1. http://garethwright.com/blog/facebook-mobile-security-hole-allows-identity-theft
2. http://www.wikihow.com/Unlink-a-Computer-from-a-Dropbox-Account
3. http://thenextweb.com/mobile/2012/04/06/security-hole-in-facebook-ios-app-doesnt-require-jailbreak-or-theft-and-dropbox-has-it-too/

Clear