Imessage используется в раздражающих атаках отказа в обслуживании

По сообщениям, некоторые разработчики приложений для iOS были атака типа «отказ в обслуживании» (DOS) который использует некоторые основные упущения в приложении Apple iMessage. Надеемся, что Apple примет это во внимание, прежде чем проблема станет более распространенной.

Согласно The Next Web, разработчики iH8sn0w, Грант Пол и другие получили на свои устройства iOS неисчислимые сообщения, которые могут привести к сбою приложения, а в некоторых случаях полностью заблокировать их в своих системах обмена сообщениями. Это особенно раздражает, потому что приложение Apple «Сообщения» используется для управления как iMessages, которые отправляются из приложения Apple для обмена сообщениями на рабочем столе, так и текстовыми сообщениями, отправляемыми с мобильных телефонов.

«Спамер iMessage теперь полностью заблокировал меня из моего приложения iOS Messages, посылая длинные строки символов Unicode», - написал Tweeted Grant Paul в пятницу. "Определенно DoS."

Хотя мотивы атак неясны, iH8sn0w предположил, что за атаками стоит другой разработчик iOS. В спам-сообщениях содержались ссылки на анонимную группу, хотя связь кажется маловероятной, так как группа обычно фокусируется на крупных социальных проблемах.

В Твиттере iH8sn0w сказал, что атаки были «просто кучкой детей, которым надоело играть с AppleScript».

Как это устроено

Атака использует несколько уникальных аспектов в iMessage. Во-первых, очевидно, что нет ограничений на количество сообщений, которые можно отправить в приложение, или на скорость отправки этих сообщений из iMessage. Хотя это может быть полезно для быстрого чата с помощью мгновенных сообщений, злоумышленники могут отправлять сообщения с угрожающей скоростью.

Во-вторых, невозможно заблокировать отдельных пользователей в iMessage. Когда у кого-то есть ваше имя пользователя Apple, он может продолжать отправлять вам сообщения, и жертвы могут это сделать.

В ходе атак учетная запись жертвы получает либо огромное количество сообщений, либо чрезвычайно большие сообщения. В любом случае, огромное количество информации затрудняет даже доступ к приложению iOS, чтобы очистить ненужную отправку. В некоторых случаях можно использовать необычные символы Unicode или эмодзи, чтобы сделать сообщения настолько большими и сложными, что приложение «Сообщения» вылетает.

Согласно iH8sn0w, атака оказалась достаточно простой, чтобы проводить ее с помощью AppleScript - основного языка кодирования Apple. iH8sn0w также сказал в Твиттере, что он или она в конечном итоге отключил учетную запись, чтобы остановить поток сообщений.

Большие последствия?

Хорошей новостью является то, что злоумышленнику потребуется имя вашей учетной записи iMessage, прежде чем приступить к атаке с помощью текстовых сообщений. Также кажется, что атаки могут проводиться только индивидуально

Тем не менее, Apple может внести базовые изменения, чтобы предотвратить проблему. Средство блокировки пользователей-нарушителей - это общая черта других служб и приложений чата, и решение Apple исключить его выглядит вслепую оптимистично.

В настоящее время жертвам доступны только ограниченные возможности предупреждений iMessages от «только моих контактов», а затем удаление оскорбительных лиц из ваших контактов.

Еще одним изменением будет введение какого-то ограничения на сообщения. Когда мы говорили с Эндрю Конвеем из Cloudmark о SMS-спаме, он предположил, что отказ от неограниченного количества текстовых сообщений значительно сократит количество спама, попадающего в мобильные телефоны. Даже несколько секунд перерыва для каждых нескольких сотен сообщений дадут жертвам критическое окно для реагирования.

Лично эта атака напоминает мне о давних временах AIM, когда пользователей можно было отключить в автономном режиме или даже запретить использование сервиса с небольшим ноу-хау со стороны злоумышленника. То, что относительно новая функция от Apple должна содержать проблему, которую другие компании решили почти 20 лет назад, в значительной степени подводит итог всего этого дела.