अलिकडच्या आठवड्यात, Apple पॉडकास्ट्स एका कारणासाठी छाननीत आले आहे विचित्र वर्तन ज्याचे अनेक वापरकर्ते आणि सायबर सुरक्षा तज्ञांनी दस्तऐवजीकरण करण्यास सुरुवात केली आहे. अॅपलच्या ऑडिओ अॅपमध्ये एक साधा, त्रासदायक बग दिसत होता, ज्यामुळे संभाव्य सुरक्षा धोक्यांबद्दल चिंता निर्माण झाली आहे, विशेषतः आयफोन आणि मॅक इकोसिस्टम स्पेन आणि उर्वरित युरोपमध्ये इतके व्यापक आहे.
विविध तांत्रिक अहवालांनुसार, काही उपकरणांवर हे अॅप्लिकेशन स्वतःहून उघडतेच, पण अज्ञात पॉडकास्ट अपलोड करा वापरकर्त्यांसाठी, हे संदेश बहुतेकदा धर्म, अध्यात्म किंवा शिक्षण यासारख्या श्रेणींशी संबंधित असतात आणि त्यात कोडच्या तुकड्यांसारखे दिसणारे शीर्षक देखील असते. जरी कोणताही मोठा हल्ला आढळला नसला तरी, हा नमुना इतका असामान्य आहे की संशोधकांना सावधगिरी बाळगण्यास आणि Apple कडून स्पष्ट प्रतिसाद देण्यास प्रवृत्त केले जाते.
असे अॅप जे स्वतः उघडते आणि तुम्ही कधीही फॉलो न केलेले पॉडकास्ट प्ले करते
युरोपियन युनियनसह विविध देशांमध्ये जे दिसून येत आहे ते म्हणजे Apple Podcasts ते हस्तक्षेपाशिवाय सुरू होऊ शकते.काही प्रभावित वापरकर्त्यांनी तक्रार केली आहे की त्यांचा आयफोन किंवा मॅक अनलॉक करताना अॅप सक्रिय होतो, तर काहींनी पॉडकास्टशी संबंधित कोणत्याही बटणावर किंवा लिंकवर क्लिक न करताही, काही वेब पृष्ठांना भेट दिल्यानंतर ते लाँच होताना पाहिले आहे.
अशा प्रकरणांमध्ये, अनुप्रयोग वापरकर्त्याने वापरलेल्या प्रोग्रामचे भाग दाखवतो सदस्यता घेतली नाही किंवा त्यांना त्यांच्याबद्दल कधी ऐकल्याचे आठवत नाही. ते बहुतेकदा धर्म, अध्यात्म किंवा शिक्षणाच्या श्रेणींमध्ये येतात आणि कधीकधी ते मूक भाग असतात, इतर भाषांमधील असतात किंवा इतके विचित्र शीर्षके असतात की ते प्रत्यक्ष श्रोत्यांना आकर्षित करण्याऐवजी प्रणालीची चाचणी घेण्यासाठी डिझाइन केलेले दिसतात.
या वर्तनांचे विश्लेषण करणारे सुरक्षा तज्ञ असे सूचित करतात की ते काहीतरी आहे दुर्मिळ अॅपलचे अधिकृत अॅप्स सामान्यतः परवानग्या आणि पार्श्वभूमी वर्तनाच्या बाबतीत कडक नियंत्रणात असतात. सिस्टम प्रोग्राम वापरकर्त्याच्या हस्तक्षेपाशिवाय उघडतो आणि बाहेरून निवडलेली सामग्री आपोआप लोड करतो ही वस्तुस्थिती चिंताजनक आहे, जरी आतापर्यंत कोणत्याही यशस्वी हल्ल्याची पुष्टी झालेली नाही.
ही घटना पूर्णपणे नवीन नाही. संशोधकांनी ट्रॅक केला आहे संशयास्पद भाग या घटना किमान २०१९ पासूनच्या आहेत, ज्यामध्ये मूक सामग्री किंवा अनपेक्षित भाषांमधील सामग्रीचे तुरळक प्लेबॅक होते. आतापर्यंत, याचा अर्थ उपद्रव किंवा स्पॅमचा एक प्रकार म्हणून अधिक केला जात होता, परंतु अलीकडील चाचण्यांवरून असे दिसून येते की जर इतर भेद्यतेसह एकत्रित केले तर ते अधिक गंभीर गोष्टीचा आधार असू शकते.
विचित्र लिंक्स आणि Apple Podcasts वर XSS हल्ल्याचा अंदाज
सायबरसुरक्षा समुदायाला सर्वात जास्त चिंतेचा मुद्दा असा आहे की, यापैकी किमान एका पॉडकास्टमध्ये, एक संभाव्य दुर्भावनापूर्ण लिंक आढळली आहे. एपिसोडच्या वर्णनात एम्बेड केलेले. शोच्या शीर्षकात कोड स्निपेटसारखे दिसणारे यादृच्छिक वर्णांचा समावेश होता आणि क्रॉस-साइट स्क्रिप्टिंग हल्ला करण्याचा प्रयत्न करणाऱ्या वेबसाइटवर पुनर्निर्देशित केला होता, ज्याला सामान्यतः XSS म्हणून ओळखले जाते. या प्रकारची घटना अशा समस्यांची आठवण करून देते ज्या अॅपलने iOS मध्ये ते दुरुस्त केले आहे. भूतकाळात पॅचेसद्वारे.
XSS हल्ला तेव्हा होतो जेव्हा एखादा हल्लेखोर स्वतःचा कोड इंजेक्ट करतो पहिल्या दृष्टीक्षेपात वैध वाटणाऱ्या पेजवर, जेणेकरून कोड पीडिताच्या ब्राउझरमध्ये कार्यान्वित होईल. ही पद्धत वर्षांपूर्वी खूप लोकप्रिय होती आणि त्यामुळे सोशल नेटवर्क्सवर ऐतिहासिक घटना घडल्या, जसे की कुप्रसिद्ध मायस्पेस वर्म. आजही, ती ऑनलाइन अॅप्लिकेशन्स आणि सेवांमध्ये सतत शोधल्या जाणाऱ्या आणि पॅच केलेल्या क्लासिक भेद्यतांपैकी एक आहे.
या प्रकरणात, अस्वस्थ करणारी गोष्ट म्हणजे केवळ दुव्याची उपस्थिती नाही, तर ती ज्या चॅनेलद्वारे येते ती आहे: a स्वतःहून उलगडणारा भागजरी आतापर्यंत असे कोणतेही संकेत मिळालेले नाहीत की या XSS प्रयत्नामुळे डिव्हाइसेसना धोका निर्माण झाला आहे, परंतु यामुळे अधिक प्रगत हल्लेखोरांना अॅप आणि ऑपरेटिंग सिस्टम किंवा ब्राउझरमध्ये इतर भेद्यतेसह संयोजनांची चाचणी घेण्याची संधी मिळते.
सल्लामसलत केलेल्या व्यावसायिकांचा आग्रह आहे की, सध्या तरी, कोणतेही थेट नुकसान नोंदवलेले नाही. Apple Podcasts च्या या वर्तनामुळे वापरकर्त्यांना चिंता निर्माण झाली आहे. दुसऱ्या शब्दांत, तुमच्या iPhone किंवा Mac वर असामान्य एपिसोड प्ले होत असल्याने तुमचे डिव्हाइस हॅक झाले आहे असे नाही. तथापि, तुमच्या परवानगीशिवाय हे प्लेबॅक करण्याची परवानगी देणारी तांत्रिक प्रक्रिया संभाव्य हल्ल्याचा वेक्टर बनू शकते.
मुख्य म्हणजे हा मार्ग वापरला जाऊ शकतो तयार केलेल्या लिंक्स वितरित करा किंवा भविष्यातील भेद्यतेचा फायदा घेण्यासाठी विशेषतः डिझाइन केलेली सामग्री. दुसऱ्या शब्दांत सांगायचे तर, आज ते फक्त एक भीती वाटत असली तरी, उद्या ते अनेक भेद्यता एकत्र करण्यासाठी आणि खरा हल्ला करण्यासाठी आवश्यक असलेला हरवलेला भाग असू शकतो - सायबर सुरक्षेच्या क्षेत्रात कधीही हलक्यात घेतले जात नाही.
समस्येचे मूळ: न विचारता Apple पॉडकास्ट उघडणारे दुवे
विश्लेषणांवरून असे दिसून येते की हे असामान्य वर्तन प्रणालीच्या कायदेशीर कार्यावर आधारित आहे: लिंकवरून पॉडकास्ट अॅप उघडाइतर लिंक्सप्रमाणे जे थेट अॅप लाँच करतात (उदाहरणार्थ, वेबसाइटवरून नकाशे किंवा अॅप स्टोअर उघडणे), अॅपल पॉडकास्ट विशिष्ट प्रकारच्या URL आढळल्यास स्वयंचलितपणे लाँच होऊ शकते.
अडचण अशी आहे की, संशोधक पॅट्रिक वॉर्डल यांनी दाखवल्याप्रमाणे, तयार केलेल्या वेबसाइटला भेट द्या. हे Apple Podcasts उघडण्यासाठी आणि आक्रमणकर्त्याने निवडलेला प्रोग्राम लोड करण्यासाठी पुरेसे आहे. शिवाय, macOS वर, हे सिस्टम वापरकर्त्याची पुष्टी न विचारता घडते, झूम सारख्या इतर बाह्य अनुप्रयोगांसारखे नाही, जे परवानगीची विनंती करणारा डायलॉग बॉक्स प्रदर्शित करतात.
उपचारांमधील या फरकाचा अर्थ असा आहे की, प्रत्यक्षात, वेबसाइट पॉडकास्ट उघडण्यास भाग पाडू शकते आणि एखाद्या एपिसोडचे प्लेबॅक, ज्यामुळे "माझा मॅक स्वतःहून गोष्टी करतो" अशी भावना निर्माण होते जी अनेक वापरकर्ते वर्णन करतात. जरी सामग्री स्वतः काहीही धोकादायक कार्यान्वित करत नसली तरी, मानवी हस्तक्षेपाशिवाय अॅप उघडणे ही केवळ सुरक्षेच्या दृष्टिकोनातून धोकादायक वर्तन मानले जाते.
स्पेन आणि उर्वरित युरोपमध्ये व्यापक असलेल्या अॅपलच्या इकोसिस्टममध्ये, या प्रकारच्या असुरक्षिततेचा व्यापक परिणाम होण्याची शक्यता आहे. कंपनी गेल्या काही वर्षांपासून सिस्टम-स्तरीय संरक्षण वैशिष्ट्ये समाविष्ट करत आहे, जसे की iMessage मध्ये स्पॅम फिल्टर आणि कॅलेंडरमध्ये संशयास्पद आमंत्रणांविरुद्ध नियम. हल्लेखोर नवीन संधी शोधत राहतात. डीफॉल्टनुसार सुरक्षित मानल्या जाणाऱ्या सेवांमध्ये प्रवेश.
खरं तर, पॉडकास्ट प्रकरण अॅपल प्लॅटफॉर्मवर स्पॅम किंवा गैरवापर मोहिमांशी संबंधित इतर अलीकडील भागांची आठवण करून देते, जसे की कॅलेंडरमध्ये मोठ्या प्रमाणात आमंत्रणे पुन्हा येणे किंवा iMessage मध्ये अवांछित संदेश पाठवणे. प्रत्येक नवीन परस्परसंवाद वेक्टर वापरकर्ता हा दुर्भावनापूर्ण घटकांसाठी एक संधी बनतो आणि इथे असे दिसते की त्यांना आणखी एक संधी मिळाली आहे.
स्पेन आणि युरोपमधील वापरकर्त्यांसाठी सध्या याचा खरोखर धोका आहे का?
दररोज आयफोन किंवा मॅक वापरणाऱ्या प्रत्येकासाठी महत्त्वाचा प्रश्न हा आहे की त्यांनी या समस्येबद्दल गांभीर्याने काळजी करावी का. या प्रकरणाची चौकशी करणारे तज्ञ सहमत आहेत की, तात्काळ धोका कमी आहे.अॅपल पॉडकास्टच्या या वर्तनामुळे डेटा चोरीला जात आहे, मालवेअर स्थापित केले जात आहे किंवा डिव्हाइसेस रिमोटली नियंत्रित केले जात आहेत याचा कोणताही पुरावा नाही.
जे अस्तित्वात आहे ते म्हणजे संभाव्य मध्यम-मुदतीचा धोकाजर एखाद्याला अॅप किंवा ऑपरेटिंग सिस्टममध्ये अतिरिक्त भेद्यता आढळली, तर ते संमतीशिवाय वेबवरून पॉडकास्ट उघडण्याच्या या क्षमतेसह ते एकत्र करू शकतात आणि नंतर, अधिक व्यापक हल्ला चढवू शकतात. म्हणूनच या समस्येने विशेष माध्यमांमध्ये आणि मॅकओएस सुरक्षा संशोधकांमध्ये इतके लक्ष वेधले आहे.
युरोपमध्ये, जिथे कायदेशीर चौकट विशेषतः कडक आहे गोपनीयता आणि डेटा संरक्षणाच्या बाबतीत, अशा परिस्थिती बिग टेकवर नियामक दबाव देखील आणतात. जरी ही गंभीर उल्लंघनापेक्षा स्पॅमची समस्या जास्त असली तरी, स्पष्ट देखरेखीशिवाय संशयास्पद लिंक्स पसरवण्यासाठी सिस्टम अॅपचा वापर केला जाऊ शकतो ही वस्तुस्थिती अॅपलच्या सुरक्षा आणि नियंत्रणावरील नेहमीच्या प्रवचनाशी पूर्णपणे जुळत नाही.
हे वर्तन देखील लक्षात घेण्यासारखे आहे याचा iOS आणि macOS वर परिणाम होतोम्हणजेच, आयफोन, आयपॅड आणि मॅक संगणकांसाठी. बहुतेक युरोपियन वापरकर्ते ब्रँडच्या इकोसिस्टममध्ये अनेक उपकरणे एकत्र करतात, ज्यामुळे हे अनपेक्षित प्लेबॅक भाग वेगवेगळ्या डिव्हाइसवर येण्याची शक्यता वाढते.
अधिकृत अपडेट किंवा तपशीलवार स्पष्टीकरण येईपर्यंत, तज्ञ शिफारस करतात की आराम करू नका, पण घाबरू नका.आम्ही एका संभाव्य हल्ल्याच्या वेक्टरशी व्यवहार करत आहोत, पूर्णपणे विकसित केलेल्या शोषणाशी नाही जे वापरकर्त्याच्या डेटाला मोठ्या प्रमाणात नुकसान पोहोचवत आहे.
व्यावहारिक शिफारसी: तुम्ही Apple Podcasts वापरत असल्यास तुम्ही काय करू शकता
जर तुम्हाला तुमच्या लायब्ररीमध्ये Apple पॉडकास्ट स्वतःहून सुरू होत असतील किंवा विचित्र एपिसोड्स येत असतील, तर जोखीम कमी करण्यासाठी तुम्ही काही सोप्या पायऱ्या घेऊ शकता. पहिले आणि सर्वात स्पष्ट म्हणजे तुम्हाला माहीत नसलेल्या लिंक्सवर क्लिक करणे टाळा. अनुप्रयोगातच, विशेषतः विचित्र शीर्षके असलेले किंवा कोडसारखे दिसणारे.
ऑपरेटिंग सिस्टम आणि अॅप्स दोन्ही अद्ययावत ठेवणे देखील आवश्यक आहे. iOS, iPadOS आणि macOS अपडेट करा नवीनतम स्थिर आवृत्तीवर अपग्रेड केल्याने हल्लेखोर अशा प्रकारच्या असामान्य वर्तनाला इतर भेद्यतांसह एकत्रित करण्याची शक्यता लक्षणीयरीत्या कमी करते जी आधीच ज्ञात आहेत आणि सर्वात अलीकडील पॅचमध्ये दुरुस्त केली गेली आहेत.
जे लोक क्वचितच Apple पॉडकास्ट वापरतात किंवा पॉडकास्ट वारंवार ऐकत नाहीत त्यांच्यासाठी आणखी थेट पर्याय म्हणजे अॅप तात्पुरते अनइंस्टॉल करा Apple समस्येची चौकशी करत असताना आणि त्याचे निराकरण करत असताना, सध्याच्या उपकरणांवर, सिस्टम अॅप्स अॅप स्टोअरमधून काढून टाकले जाऊ शकतात आणि पुढील गुंतागुंतीशिवाय पुन्हा स्थापित केले जाऊ शकतात, त्यामुळे दीर्घकालीन कार्यक्षमता गमावली जात नाही.
जर तुम्हाला पॉडकास्टवर अवलंबून न राहता तुमचे आवडते शो ऐकत राहायचे असतील, तर तुम्ही... वापरू शकता. Spotify किंवा YouTubeजिथे नेहमीची सामग्री देखील उपलब्ध आहे. हा प्रत्येकासाठी निश्चित किंवा आवश्यक उपाय नाही, परंतु अधिक स्पष्टता येईपर्यंत सुरक्षित राहणे पसंत करणाऱ्यांसाठी हा एक चांगला उपाय असू शकतो.
शेवटी, हे उचित आहे की असामान्य वर्तनापासून सावध रहा सर्वसाधारणपणे Apple अॅप्समध्ये: अनपेक्षित उघडणे, विचित्र सूचना, तुम्हाला आठवत नसलेले सबस्क्रिप्शन सक्रिय करणे इ. यापैकी बहुतेक चिन्हे सहसा फक्त त्रासदायक किंवा स्पॅम प्रयत्न असतात, परंतु जागरूक वृत्ती राखल्याने कोणत्याही गंभीर समस्या लवकर शोधण्यास मदत होते.
अॅपलकडून अधिकृत प्रतिसाद न मिळाल्याने, अॅपल पॉडकास्ट प्रकरण हे आणखी एक उदाहरण बनले आहे की कसे अगदी प्रस्थापित अनुप्रयोग देखील अनपेक्षित वर्तन प्रदर्शित करू शकतात. जरी हे मुद्दे आपत्तीजनक नसले तरी, सावधगिरी बाळगणे आवश्यक आहे. आपोआप उघडणारे भाग, प्रयत्न केलेल्या क्रॉस-साइट स्क्रिप्टिंग (XSS) च्या लिंक्स आणि परवानगीशिवाय वेबवरून अॅप लाँच करण्याची क्षमता या सर्वांमध्ये, सर्वसाधारण भावना अशी आहे की सुधारणेला वाव आहे आणि कोणीतरी खरोखरच त्याचा गैरफायदा घेण्यापूर्वी कंपनीला ही संभाव्य भेद्यता बंद करण्यासाठी कारवाई करावी लागेल.
