Trusted Security for all of Indonesia
Apple telah merilis pembaruan keamanan untuk mengatasi kerentanan di beberapa produk. Penyerang dapat mengeksploitasi beberapa kerentanan ini untuk mengendalikan perangkat yang terpengaruh.
CISA mendorong pengguna dan administrator untuk meninjau halaman keamanan Apple untuk produk berikut dan menerapkan pembaruan yang diperlukan.
sumber : us-cert.cisa.gov
Anda pernah mendengar tentang taman bertembok (walled garden) Apple yang terkenal, ekosistem teknologi yang dikontrol ketat yang memberi perusahaan kontrol fitur dan keamanan yang unik.
Semua aplikasi melalui proses persetujuan Apple yang ketat, mereka dibatasi sehingga informasi sensitif tidak dikumpulkan di ponsel, dan pengembang tidak dapat masuk ke tempat yang dapat mereka masuki di sistem lain. Penghalang sekarang sangat tinggi sehingga mungkin lebih akurat untuk menganggapnya sebagai dinding kastil.
Namun, ketika peretas paling canggih berhasil menerobos, sesuatu yang aneh terjadi: pertahanan luar biasa Apple akhirnya melindungi penyerang itu sendiri.
“Itu pedang bermata dua,” kata Bill Marczak, peneliti senior di pengawas keamanan siber Citizen Lab. “Anda akan menghindari banyak kekacauan dengan mempersulit pembobolan iPhone. Tapi 1% dari peretas top akan menemukan jalan masuk dan, begitu mereka masuk, benteng iPhone yang tak tertembus melindungi mereka.”
Dia berpendapat bahwa sementara keamanan iPhone semakin ketat karena Apple menginvestasikan jutaan untuk meningkatkan tembok, peretas terbaik memiliki jutaan mereka sendiri untuk membeli atau mengembangkan eksploitasi zero-click yang memungkinkan mereka mengambil alih iPhone tanpa terlihat.
Ini memungkinkan penyerang untuk menggali ke dalam bagian terlarang ponsel tanpa pernah memberi target indikasi bahwa ponsel mereka telah disusupi.
Terkadang sistem yang terkunci dapat menjadi bumerang bahkan lebih langsung. Ketika Apple merilis versi baru iOS musim panas lalu di tengah penyelidikan Marczak, fitur keamanan baru ponsel membunuh alat “jailbreak” tidak resmi yang digunakan Citizen Lab untuk membuka iPhone. Pembaruan tersebut menguncinya dari area pribadi ponsel, termasuk folder untuk pembaruan baru — yang ternyata persis dimana peretas bersembunyi.
Selengkapnya: Technology Review
Kerentanan cross-site scripting (XSS) yang disimpan di domain iCloud dilaporkan telah ditambal oleh Apple.
Bug bounty hunter dan penetration tester Vishal Bharad mengklaim telah menemukan kelemahan keamanan, yang merupakan masalah XSS yang tersimpan di icloud.com.
Kerentanan stored XSS, juga dikenal sebagai persistent XSS, dapat digunakan untuk menyimpan muatan di server target, menyuntikkan skrip berbahaya ke situs web, dan berpotensi digunakan untuk mencuri cookie, token sesi, dan data browser.
Menurut Bharad, cacat XSS di icloud.com ditemukan di fitur Halaman/Catatan Utama domain iCloud Apple.
Untuk memicu bug, penyerang perlu membuat Halaman baru atau konten Keynote dengan muatan XSS yang dikirimkan ke bidang nama.
Bharad juga menyediakan video Proof-of-Concept (PoC) untuk mendemonstrasikan kerentanan.
Sumber: ZDNet
Pengembang aplikasi seluler Kosta Eleftheriou memiliki panggilan baru yang melampaui pengembangan perangkat lunak: mengambil apa yang dilihatnya sebagai masalah penipuan yang merajalela yang merusak integritas App Store Apple.
Eleftheriou, yang membuat aplikasi papan ketik Apple Watch FlickType yang sukses, selama dua minggu terakhir secara terbuka mengkritik Apple karena lemahnya penegakan aturan App Store yang memungkinkan aplikasi scam, serta aplikasi yang mengkloning perangkat lunak populer dari pengembang lain, untuk berjalan merajalela.
Keluhan vokalnya, yang telah menarik perhatian dan dukungan dari banyak pengembang aplikasi lain di komunitas iOS, menggarisbawahi meningkatnya ketegangan antara Apple dan pembuat perangkat lunak yang menjadi sandarannya.
Eleftheriou pertama kali merinci pengalaman pribadinya dengan penipuan App Store akhir bulan lalu di utas Twitter, di mana dia menjelaskan bagaimana aplikasinya FlickType disalin dengan jahat oleh banyak pengembang yang membangun versi perangkat lunak yang tidak berfungsi dan mengenakan biaya berlangganan yang mengerikan, hanya lolos dengan itu karena ulasan App Store yang kuat dan peringkat bintang lima tinggi yang dia klaim palsu.
Eleftheriou mengatakan pesaing utamanya, aplikasi penipuan bernama KeyWatch, menagih pengguna $8 per minggu dan mengumpulkan lebih dari $2 juta setahun, menurut analitik dari Appfigures, meskipun aplikasinya tidak berfungsi dengan baik. Dia mengatakan KeyWatch bahkan mengiklankan perangkat lunaknya menggunakan video promosinya – dengan namanya yang masih terpasang.
Apple belum menanggapi secara terbuka klaim Eleftheriou, meskipun perusahaan telah menghapus KeyWatch dan beberapa aplikasi penipuan lainnya yang dia perhatikan selama seminggu terakhir.
Selengkapnya: The Verge
Apple (AAPL) bersiap untuk meluncurkan fitur privasi baru di versi iOS 14 berikutnya yang menimbulkan cukup banyak kemarahan dari orang-orang seperti sesama titan Silicon Valley Facebook.
Fitur, yang disebut Transparansi Pelacakan Aplikasi, telah menjadi titik terang di antara perusahaan-perusahaan sehingga Facebook (FB), menurut The Information, mempertimbangkan untuk mengajukan gugatan antitrust terhadap Apple atas masalah tersebut.
Jadi, apa itu Transparansi Pelacakan Aplikasi, dan mengapa Facebook sangat membencinya?
Perangkat iOS dan iPadOS Anda memiliki apa yang disebut sebagai pelacak perangkat lunak Identification for Advertisers, atau IDFA. IDFA adalah pengenal acak Apple yang memungkinkan pengiklan melacak aktivitas Anda di seluruh aplikasi dan web tanpa menarik informasi pribadi Anda.
Melacak aktivitas Anda penting bagi pengiklan, karena memungkinkan mereka mengirimi Anda iklan bertarget dan menentukan seberapa sukses kampanye iklan mereka.
Apple, akan tetapi, telah mendorong privasi sebagai bagian dari lini produknya selama beberapa tahun terakhir, dan sebelumnya melakukan tindakan untuk membatasi kemampuan perusahaan untuk melacak aktivitas pengguna tertentu melalui browser Safari-nya.
Di situlah Transparansi Pelacakan Aplikasi berperan. Fitur tersebut, saat tersedia pada versi iOS 14 berikutnya, akan memberi pengguna pop up saat mereka meluncurkan aplikasi yang ingin melacak aktivitas mereka. Fitur ini juga membuat pelacakan dimatikan secara default, dan hanya akan membiarkan Anda dilacak jika Anda memberi tahu aplikasinya.
Saat ini, pelacakan aplikasi diaktifkan secara default, meskipun pengguna dapat menonaktifkannya melalui menu pengaturan iOS dan iPadOS. Facebook khawatir bahwa menonaktifkan pelacakan secara default dan meminta orang untuk mengaktifkannya akan mengakibatkan sejumlah besar pengguna menolak untuk dilacak.
Sumber: Yahoo Finance
Seorang peneliti keamanan Inggris telah menemukan hari ini bahwa kelemahan keamanan baru-baru ini di aplikasi Sudo juga memengaruhi sistem operasi macOS, dan bukan hanya Linux dan BSD, seperti yang diyakini pada awalnya.
Kerentanan, yang diungkapkan minggu lalu sebagai CVE-2021-3156 (alias Baron Samedit) oleh peneliti keamanan dari Qualys, berdampak pada Sudo, sebuah aplikasi yang memungkinkan admin untuk mendelegasikan akses root terbatas ke pengguna lain.
Peneliti Qualys menemukan bahwa mereka dapat memicu bug “heap overflow” di aplikasi Sudo untuk mengubah akses pengguna saat ini yang memiliki hak istimewa rendah ke perintah tingkat root, yang memberi penyerang akses ke seluruh sistem.
VERSI MAC OS TERBARU JUGA TERDAMPAK
Namun salah satu pendiri Hacker House, Matthew Hickey mengatakan bug ini juga terdapat pada versi terbaru macOS juga disertakan dengan aplikasi Sudo.
Hickey mengatakan dia menguji kerentanan CVE-2021-3156 dan menemukan bahwa dengan beberapa modifikasi, bug keamanan dapat digunakan untuk memberikan akses penyerang ke akun root macOS juga.
Hickey memberi tahu ZDNet bahwa bug tersebut dapat dieksploitasi di versi terbaru macOS, bahkan setelah menerapkan tambalan keamanan terbaru yang dirilis Apple pada hari Senin.
Peneliti mengatakan dia memberi tahu Apple tentang masalah itu hari ini. Apple menolak berkomentar saat menyelidiki laporan tersebut; Namun, patch diharapkan untuk masalah yang begitu serius ini.
Source : ZDnet
Facebook mengatakan pada hari Senin bahwa pihaknya sedang menguji peringatan pop-up baru untuk pengguna iPhone dan iPad yang menekankan manfaat dari aplikasinya yang mengumpulkan data pribadi. Tes dilakukan sebelum perubahan privasi Apple dengan potensi untuk meningkatkan bisnis inti jejaring sosial.
Apple (AAPL) mengatur untuk memperkenalkan persyaratan baru bagi pengguna untuk memberikan izin eksplisit bagi aplikasi untuk melacaknya di internet, sebuah langkah yang telah mengguncang Facebook, yang mengandalkan pengumpulan data untuk menargetkan iklan.
Sekarang, Facebook berencana untuk menunjukkan permintaan “kami sendiri, bersama dengan Apple” dalam upaya untuk menunjukkan kepada pengguna bagaimana iklan yang dipersonalisasi “mendukung bisnis kecil dan membuat aplikasi tetap gratis,” kata perusahaan itu dalam pembaruan Senin untuk posting blog lama yang disebut “Speaking Up for Small Businesses.”
Facebook, yang memperoleh hampir semua pendapatannya dari iklan, telah berulang kali memperingatkan investor bahwa perubahan perangkat lunak Apple dapat merugikan bisnisnya jika pengguna menolak izin pelacakan.
Sementara langkah terbaru ini mungkin tampak seperti tembakan lain yang ditembakkan ke Apple, Facebook menerima tawaran Apple untuk pengembang mana pun untuk menjelaskan mengapa ia menginginkan izin tertentu untuk pelacakan. “Kami merasa orang-orang berhak mendapatkan konteks tambahan, dan Apple mengatakan bahwa memberikan pendidikan diperbolehkan,” kata Facebook dalam posting blog tersebut.
Selengkapnya: CNN
Dengan dirilisnya iOS 14 musim gugur lalu, Apple telah menambahkan sistem keamanan baru ke iPhone dan iPad untuk melindungi pengguna dari serangan yang dilakukan melalui klien pesan instan iMessage.
Dinamakan BlastDoor, fitur keamanan iOS baru ini ditemukan oleh Samuel Groß, peneliti keamanan Project Zero, tim keamanan Google yang bertugas menemukan kerentanan di perangkat lunak yang umum digunakan.
Groß mengatakan layanan BlastDoor baru adalah sandbox dasar, jenis layanan keamanan yang mengeksekusi kode secara terpisah dari sistem operasi lainnya.
Meskipun iOS dikirimkan dengan beberapa mekanisme sandbox, BlastDoor adalah tambahan baru yang hanya beroperasi di tingkat aplikasi iMessage.
Perannya adalah mengambil pesan masuk dan membongkar dan memproses kontennya di dalam lingkungan yang aman dan terisolasi, di mana kode berbahaya apa pun yang tersembunyi di dalam pesan tidak dapat berinteraksi atau merusak sistem operasi yang mendasarinya atau mengambil data pengguna.
Setelah mencari-cari di dalam cara kerja iOS 14 selama seminggu, Groß mengatakan dia yakin bahwa Apple akhirnya mendengarkan komunitas riset keamanan dan meningkatkan penanganan iMessage atas konten yang masuk dengan menambahkan sandbox BlastDoor ke kode sumber iMessage.
Sumber: ZDNet
