En este contexto, la aplicación TikTok se discutió con mayor frecuencia la semana pasada. Los desarrolladores de este servicio reaccionaron de la manera esperada: esto no es un error, sino una característica. Se implementó la solicitud regular del portapapeles (no al inicio, pero constantemente al ingresar texto) para identificar a los spammers que publican el mismo texto muchas veces. Antispam se eliminará de la aplicación con la siguiente actualización. Aunque no existe una amenaza directa para la seguridad de los datos del usuario, el acceso no controlado conlleva ciertos riesgos de privacidad. Por cierto, la "noticia" no era completamente nueva: el extraño comportamiento de las aplicaciones fue investigado en marzo de este año.
El video en el tweet anterior muestra el comportamiento de la aplicación TikTok: cuando el usuario escribe un mensaje, lee el búfer cada vez que se ingresa un espacio o cualquier puntuación. Una descripción detallada del problema en el sitio web de ArsTechnica explica por qué dicho comportamiento de la aplicación puede ser peligroso. Está claro que las contraseñas, la información de pago y otros datos sensibles al usuario pasan a través del búfer. Pero hay otra característica del ecosistema de Apple: si el teléfono inteligente no está lejos de una computadora de escritorio basada en macOS, tienen un portapapeles común. La información copiada del búfer no se borra y permanece allí hasta la próxima operación. Resulta que está disponible para los desarrolladores de aplicaciones populares, y si no fuera por la innovación en iOS 14, nadie habría sabido sobre este comportamiento.
Más precisamente, solo los especialistas lo sabrían. En marzo, se publicó un estudio que identificó docenas de aplicaciones con un comportamiento similar. Entre los que accedieron al portapapeles se vieron aparatos de medios populares, juegos, aplicaciones para demostrar pronósticos meteorológicos. La captura del portapapeles a veces se usa para la conveniencia del usuario: por ejemplo, cuando inicia sesión en su cuenta, se le envía un mensaje con el código. Copias el código, y se "recoge" automáticamente cuando vuelves a la aplicación.
Pero esta es una funcionalidad completamente opcional, y no está del todo claro por qué las pelotas y el golf tienen acceso al portapapeles. Obviamente, en todas las aplicaciones mencionadas, la lectura del búfer se implementó "para la conveniencia del usuario" o, al menos, para la conveniencia de los desarrolladores. No se sabe qué sucede después con los datos copiados. Hablando estrictamente sobre malware, la intercepción del portapapeles es una característica estándar para robar información del usuario, a veces directamente orientada al reconocimiento y robo de datos de tarjetas de crédito.
Se reveló una colisión interesante: el portapapeles, por definición, debería estar disponible para todos. Este es casi el último puesto avanzado de libertad e interacción en los sistemas operativos móviles modernos, donde cuanto más lejos, más estrictas, las aplicaciones están aisladas unas de otras y de los datos del usuario. Pero el acceso irreflexivo al búfer, cuando el usuario no iba a copiar y pegar nada, tampoco es la mejor práctica. Es posible que los desarrolladores tengan que cambiar algo en sus aplicaciones. De lo contrario, al menos con el lanzamiento de iOS 14, los usuarios verán muchas notificaciones del mismo tipo sobre el acceso al portapapeles.
Que mas paso
Google Analytics se puede utilizar para recopilar y filtrar datos de usuarios. Un experto de Kaspersky Lab analiza un ataque real utilizando un servicio de análisis.
La actualización del controlador de Nvidia (versión 451.48 para la mayoría de las tarjetas gráficas GeForce) cierra las vulnerabilidades graves, incluida la ejecución de código arbitrario.
Resultados interesantes de una base de datos de mil millones de contraseñas recopiladas de fugas. Se obtuvieron un total de 168 millones de contraseñas únicas. Menos del 9% de las contraseñas se filtran solo una vez, lo que significa que es probable que la mayoría de las contraseñas se reutilicen. Casi un tercio de las contraseñas son letras y no contienen números ni caracteres especiales.
Un artículo sobre el ataque NotPetya de 2017 a la compañía naviera Maersk por parte de un experto en TI.
El Congreso de los Estados Unidos continúadiscusión de la legislación que prevé la presencia de "puertas traseras" en los sistemas de cifrado en los dispositivos de los usuarios. Este enfoque es criticado por los criptógrafos: no se puede debilitar la protección solo en interés de los organismos encargados de hacer cumplir la ley. La capacidad de descifrar datos utilizando una "clave secreta" puede eventualmente estar disponible para todos.
El 25 de junio, Akamai informópara prevenir uno de los mayores ataques DDoS. El artículo también propone un nuevo método para medir el poder de ataque: en "paquetes por segundo". Esta innovación era necesaria debido a las propiedades del ataque: cada uno de los sistemas atacantes no intentó "obstruir" el canal del proveedor con tráfico, sino que envió pequeños paquetes de datos de un solo byte. Al mismo tiempo, las solicitudes de basura se enviaron con alta intensidad: hasta 809 millones de solicitudes por segundo.
Una base de datos de 40 millones de pares "login-phone" en el Telegram messenger entró en acceso abierto . Entre los usuarios que ingresaron a la base de datos, el 30% son de Rusia. Lo más probable es que la base de datos se haya recopilado al abusar de la funcionalidad estándar del messenger, que le permite encontrar usuarios por número de teléfono, si está registrada en la libreta de direcciones.