Appleov iOS nije ni blizu kao ranjiv na zlonamjerni softver kao i Windows, ali nije potpuno neprohodan. "Konfiguracijski profili" jedan su od mogućih načina da zarazite iPhone ili iPad samo preuzimanjem datoteke i prihvaćanjem brzine.
Ova ranjivost se ne iskorištava u stvarnom svijetu. To nije nešto za što biste trebali biti posebno zabrinuti, ali podsjetnik je da platforma nije potpuno sigurna.
Profili konfiguracije izrađuju se pomoću Appleovog alata za konfiguraciju iPhone uređaja. Namijenjeni su IT odjelima i mobilnim operaterima. Te datoteke imaju ekstenziju .mobileconfig datoteke i bitno su jednostavan način distribucije mrežnih postavki na iOS uređaje.
Na primjer, profil konfiguracije može sadržavati postavke Wi-Fi, VPN, e-pošte, kalendara, pa čak i ograničenja zaporki. IT odjel može distribuirati profil konfiguracije svojim zaposlenicima, omogućujući im brzo konfiguriranje svog uređaja za povezivanje s mrežom tvrtke i ostalim uslugama. Mobilni operater mogao bi distribuirati datoteku konfiguracijskog profila koja sadrži postavke naziva pristupne točke (APN), omogućujući korisnicima jednostavno konfiguriranje postavki mobilnih podataka na svom uređaju bez ručnog unošenja svih informacija.
Zasada je dobro. Međutim, zlonamjerna osoba mogla bi teorijski stvoriti vlastite datoteke profila konfiguracije i distribuirati ih. Profil bi mogao konfigurirati uređaj da upotrebljava zlonamjerni proxy ili VPN, čime je omogućio napadaču da nadgleda sve što ide preko mreže i preusmjeri uređaj na web stranice za krađu identiteta ili zlonamjerne stranice.
Konfiguracijski profili mogu se koristiti i za instaliranje certifikata. Ako je instaliran zlonamjerni certifikat, napadač bi mogao uspješno predstavljati sigurne web stranice kao što su banke.
Profili konfiguracije mogu se distribuirati na nekoliko različitih načina. Najviše se odnosi na e-mail privitke i kao datoteke na web stranicama. Napadač može stvoriti e-poštu za krađu identiteta (vjerojatno e-pošte ciljane na koplje) koja potiče zaposlenike korporacije da instaliraju zlonamjerni profil konfiguracije koji je pridružen e-pošti. Ili, napadač može postaviti web mjesto za krađu identiteta koje pokušava preuzeti datoteku profila konfiguracije.
Kada preuzmete profil konfiguracije, iOS će prikazati informacije o sadržaju profila i zatražiti je li ga želite instalirati. Vi ste u opasnosti samo ako odlučite preuzeti i instalirati zlonamjerni profil konfiguracije. Naravno, mnoga su računala u stvarnom svijetu zaražena jer korisnici pristaju preuzeti i pokrenuti zlonamjerne datoteke.
Profil konfiguracije može ograničiti uređaj samo na ograničeni način. Ne može se replicirati kao virus ili crv, niti se može sakriti od pogleda poput rootkita. On može usmjeriti uređaj na zlonamjerne poslužitelje i instalirati zlonamjerne potvrde. Ako se profil konfiguracije ukloni, štetne će promjene biti obrisane.
Možete vidjeti jeste li instalirali profile konfiguracije otvaranjem aplikacije Postavke na iPhoneu, iPadu ili iPod Touchu i dodirivanjem Opće kategorije. Potražite opciju Profil pri dnu popisa. Ako ga ne vidite u oknu Općenito, nemate instalirane profile konfiguracije.
Ako vidite tu opciju, možete je dodirnuti da biste pregledali instalirane profile konfiguracije, pregledali ih i uklonili sve što vam nije potrebno.
Poduzeća koja koriste upravljane iOS uređaje mogu spriječiti korisnike da instalirate dodatne profile konfiguracije na svoje uređaje. Poduzeća također mogu upitati svoje upravljane uređaje kako bi vidjeli jesu li instalirani dodatni konfiguracijski profili i uklonili ih na daljinu ako je potrebno. Tvrtke koje koriste upravljane iOS uređaje imaju način da osiguraju da ti uređaji nisu zaraženi zlonamjernim profilima konfiguracije.
Ovo je više od teorijske ranjivosti, jer nismo svjesni nikoga koji ga aktivno iskorištava. Ipak, to pokazuje da nijedan uređaj nije potpuno siguran. Prilikom preuzimanja i instalacije potencijalno štetnih stvari trebali biste biti oprezni, bez obzira na to jesu li izvršni programi na sustavu Windows ili konfiguracijski profili na iOS-u.
