Naga Cyber Defense

Trusted Security for all of Indonesia

You are here: Home / Archives for Company / Apple

Apple

Apple merilis iOS 16 dengan Lockdown, fitur keamanan Safety Check

by

Apple merilis iOS 16 hari ini dengan fitur baru untuk meningkatkan keamanan dan privasi pengguna iPhone, termasuk Mode Lockdown dan Pemeriksaan Keamanan.

Seperti yang dikatakan Apple pada bulan Juli ketika pertama kali meluncurkannya, fitur keamanan Mode Lockdown tidak dimaksudkan untuk penggunaan sehari-hari tetapi, sebaliknya, dirancang untuk melindungi individu berisiko tinggi (misalnya, pembela hak asasi manusia, jurnalis, dan pembangkang) dari serangan yang ditargetkan dengan tentara bayaran. spyware.

Setelah diaktifkan, Lockdown Mode menyediakan pesan tambahan, penjelajahan web, dan perlindungan konektivitas yang memblokir spyware komersial (seperti Pegasus NSO Group) yang digunakan oleh penyerang yang didukung pemerintah untuk memantau perangkat Apple yang disusupi.

Lebih sering daripada tidak, serangan semacam itu menggunakan eksploitasi tanpa klik yang menargetkan browser web atau aplikasi perpesanan seperti Facetime dan WhatsApp.

Namun, dengan Mode Penguncian diaktifkan, mereka akan diblokir secara otomatis karena fitur rentan yang dieksploitasi untuk menginstal spyware seperti pratinjau tautan akan dinonaktifkan.

Apple Lockdown Mode (Apple)

​Di antara fitur lain yang akan dinonaktifkan untuk mempertahankan diri dari serangan spyware, Apple juga mencantumkan jenis lampiran pesan yang berbeda dari gambar, teknologi web yang kompleks seperti kompilasi JavaScript just-in-time (JIT), undangan masuk atau permintaan layanan yang tidak wajar, konfigurasi instalasi profil, dan bergabung dengan MDM.

Menurut deskripsi Apple, alat privasi Pemeriksaan Keamanan yang baru adalah binatang yang sama sekali berbeda, karena berfokus pada masalah yang sama sekali berbeda, yaitu membela orang-orang di basis penggunanya yang keselamatan pribadinya berada dalam bahaya langsung dari kekerasan dalam rumah tangga atau pasangan intim.

Ini bekerja dengan segera menghapus semua akses yang sebelumnya diberikan ke aplikasi dan orang lain, mengubah siapa yang dapat mengakses informasi sensitif seperti data lokasi, dan membantu mereka yang kemungkinan ditargetkan untuk meninjau keamanan akun mereka dengan cepat.

Fitur iOS 16 yang berfokus pada keamanan dan privasi ini sejalan dengan upaya berkelanjutan Apple untuk mempertahankan pelanggan mereka dari serangan spyware dan meningkatkan kemampuan perlindungan privasi sistem operasi.

Misalnya, Apple menggugat pembuat spyware Pegasus NSO Group pada November 2021 karena menargetkan dan memata-matai pengguna Apple menggunakan teknologi pengawasan komersial dalam serangan yang disponsori negara.

Perusahaan juga telah mengumumkan kategori Bounty Keamanan Apple baru untuk memberi peneliti keamanan hadiah uang untuk menemukan dan membantu menutup bug keamanan yang dapat digunakan untuk mengatasi pertahanan Mode Lockdown.

Sumber: Bleeping Computer

Apple memperbaiki zero-day kedelapan yang digunakan untuk meretas iPhone dan Mac tahun ini

by

Apple telah merilis pembaruan keamanan untuk mengatasi kerentanan zero-day kedelapan yang digunakan dalam serangan terhadap iPhone dan Mac sejak awal tahun.

Dalam peringatan keamanan yang dikeluarkan pada hari Senin, Apple mengungkapkan bahwa mereka mengetahui laporan yang mengatakan kelemahan keamanan ini “mungkin telah dieksploitasi secara aktif.”

Bug (dilacak sebagai CVE-2022-32917) dapat memungkinkan aplikasi yang dibuat dengan jahat untuk mengeksekusi kode arbitrer dengan hak istimewa kernel.

Dilaporkan ke Apple oleh peneliti anonim, masalah ini ditangani di iOS 15.7 dan iPadOS 15.7, macOS Monterey 12.6, dan macOS Big Sur 11.7 dengan pemeriksaan batas yang ditingkatkan.

Daftar lengkap perangkat yang terkena dampak meliputi:

  • iPhone 6s dan versi lebih baru, iPad Pro (semua model), iPad Air 2 dan versi lebih baru, iPad generasi ke-5 dan versi lebih baru, iPad mini 4 dan versi lebih baru, serta iPod touch (generasi ke-7)
  • Mac yang menjalankan macOS Big Sur 11.7 dan macOS Monterey 12.6

Apple juga mem-backport patch untuk zero-day lainnya (CVE-2022-32894) ke Mac yang menjalankan macOS Big Sur 11.7 setelah merilis pembaruan keamanan tambahan pada 31 Agustus untuk mengatasi bug yang sama pada versi iOS yang berjalan di iPhone dan iPad lama.

Meskipun Apple mengungkapkan eksploitasi aktif kerentanan ini di alam liar, perusahaan belum merilis informasi apa pun mengenai serangan ini.

Dengan menolak untuk merilis info ini, Apple kemungkinan ingin mengizinkan sebanyak mungkin pelanggan untuk menambal perangkat mereka sebelum penyerang lain mengembangkan eksploitasi mereka sendiri dan mulai menyebarkannya dalam serangan yang menargetkan iPhone dan Mac yang rentan.

Meskipun zero-day ini kemungkinan besar hanya digunakan dalam serangan yang sangat bertarget, menginstal pembaruan keamanan sesegera mungkin masih sangat disarankan untuk memblokir upaya serangan.

Sumber: Bleeping Computer

VPN untuk iOS Rusak dan Apple Mengetahuinya, Kata Peneliti Keamanan

by

VPN pihak ketiga yang dibuat untuk iPhone dan iPad secara rutin gagal merutekan semua lalu lintas jaringan melalui terowongan aman setelah diaktifkan, sesuatu yang telah diketahui Apple selama bertahun-tahun, klaim peneliti keamanan lama (melalui ArsTechnica).

Menulis di posting blog yang terus diperbarui, Michael Horowitz mengatakan bahwa setelah menguji beberapa jenis perangkat lunak jaringan pribadi virtual (VPN) pada perangkat iOS, sebagian besar tampaknya berfungsi dengan baik pada awalnya, mengeluarkan perangkat alamat IP publik baru dan server DNS baru, dan mengirim data ke server VPN. Namun, seiring waktu terowongan VPN membocorkan data.

Biasanya, ketika pengguna terhubung ke VPN, sistem operasi menutup semua koneksi internet yang ada dan kemudian membangunnya kembali melalui terowongan VPN. Bukan itu yang diamati Horowitz dalam logging router canggihnya. Sebagai gantinya, sesi dan koneksi yang dibuat sebelum VPN dihidupkan tidak dihentikan seperti yang diharapkan, dan masih dapat mengirim data di luar terowongan VPN saat sedang aktif, sehingga berpotensi tidak terenkripsi dan terpapar ke ISP dan pihak lain.
“Data meninggalkan perangkat iOS di luar terowongan VPN,” tulis Horowitz. “Ini bukan kebocoran DNS klasik/lawas, ini kebocoran data. Saya mengonfirmasi ini menggunakan beberapa jenis VPN dan perangkat lunak dari beberapa penyedia VPN. Versi iOS terbaru yang saya uji adalah 15.6.”

Horowitz mengklaim bahwa temuannya didukung oleh laporan serupa yang dikeluarkan pada Maret 2020 oleh perusahaan privasi Proton, yang mengatakan kerentanan bypass VPN iOS telah diidentifikasi di iOS 13.3.1 yang bertahan melalui tiga pembaruan berikutnya ke iOS 13.

Menurut Proton, Apple mengindikasikan akan menambahkan fungsionalitas Kill Switch ke pembaruan perangkat lunak di masa mendatang yang memungkinkan pengembang memblokir semua koneksi yang ada jika terowongan VPN hilang.

Namun, fungsionalitas tambahan tampaknya tidak memengaruhi hasil pengujian Horowitz, yang dilakukan pada Mei 2022 di iPadOS 15.4.1 menggunakan klien VPN Proton, dan peneliti mengatakan saran apa pun yang akan mencegah kebocoran data “tidak aktif. basis.”

Horowitz baru-baru ini melanjutkan pengujiannya dengan iOS 15.6 terinstal dan OpenVPN menjalankan protokol WireGuard, tetapi iPad-nya terus membuat permintaan di luar terowongan terenkripsi ke layanan Apple dan Amazon Web Services.

Seperti dicatat oleh ArsTechnica, Proton menyarankan solusi untuk masalah yang melibatkan pengaktifan VPN dan kemudian menghidupkan dan mematikan mode Pesawat untuk memaksa semua lalu lintas jaringan dibangun kembali melalui terowongan VPN.

Namun, Proton mengakui bahwa ini tidak dijamin berhasil, sementara Horowitz mengklaim mode Pesawat tidak dapat diandalkan, dan tidak boleh diandalkan sebagai solusi untuk masalah tersebut. Kami telah menghubungi Apple untuk mengomentari penelitian dan akan memperbarui posting ini jika kami mendengarnya kembali.

Sumber: MacRumors

VPN iOS Telah Membocorkan Lalu Lintas Selama Bertahun-tahun, Klaim Peneliti [Diperbarui]

by

(Pembaruan, 18 Agustus, 14:40: Pendiri dan CEO Proton Andy Yen mengatakan dalam sebuah pernyataan: “Fakta bahwa ini masih menjadi masalah mengecewakan untuk sedikitnya. Kami pertama kali memberi tahu Apple secara pribadi tentang masalah ini dua tahun lalu. Apple menolak untuk memperbaiki masalah, itulah sebabnya kami mengungkapkan kerentanan untuk melindungi publik. Keamanan jutaan orang ada di tangan Apple, mereka adalah satu-satunya yang dapat memperbaiki masalah, tetapi mengingat kurangnya tindakan selama dua tahun terakhir tahun, kami tidak terlalu optimis Apple akan melakukan hal yang benar.”)

Kisah asli: Seorang peneliti keamanan mengatakan bahwa perangkat iOS Apple tidak sepenuhnya mengarahkan semua lalu lintas jaringan melalui VPN seperti yang diharapkan pengguna, masalah keamanan potensial yang telah diketahui oleh pembuat perangkat selama bertahun-tahun.

Michael Horowitz, seorang blogger dan peneliti keamanan komputer lama, dengan gamblang dalam posting blog yang terus diperbarui. “VPN di iOS rusak,” katanya.

VPN pihak ketiga mana pun tampaknya berfungsi pada awalnya, memberi perangkat alamat IP baru, server DNS, dan terowongan untuk lalu lintas baru, tulis Horowitz. Tetapi sesi dan koneksi yang dibuat sebelum VPN diaktifkan tidak berhenti dan, dalam temuan Horowitz dengan log router tingkat lanjut, masih dapat mengirim data di luar terowongan VPN saat sedang aktif.

Dengan kata lain, Anda mungkin mengharapkan klien VPN untuk mematikan koneksi yang ada sebelum membuat koneksi yang aman sehingga mereka dapat dibangun kembali di dalam terowongan. Tetapi VPN iOS tampaknya tidak dapat melakukan ini, kata Horowitz, sebuah temuan yang didukung oleh laporan serupa dari Mei 2020.

“Data meninggalkan perangkat iOS di luar terowongan VPN,” tulis Horowitz. “Ini bukan kebocoran DNS klasik/lawas, ini kebocoran data. Saya mengonfirmasi ini menggunakan beberapa jenis VPN dan perangkat lunak dari beberapa penyedia VPN. Versi iOS terbaru yang saya uji adalah 15.6.”

Perusahaan privasi Proton sebelumnya melaporkan kerentanan bypass VPN iOS yang dimulai setidaknya di iOS 13.3.1. Seperti posting Horowitz, blog ProtonVPN mencatat bahwa VPN biasanya menutup semua koneksi yang ada dan membukanya kembali di dalam terowongan VPN, tetapi itu tidak terjadi di iOS. Sebagian besar koneksi yang ada pada akhirnya akan berakhir di dalam terowongan, tetapi beberapa, seperti layanan pemberitahuan push Apple, dapat bertahan selama berjam-jam.

Masalah utama dengan koneksi non-tunnel yang bertahan adalah bahwa mereka dapat tidak terenkripsi dan bahwa alamat IP pengguna dan apa yang mereka sambungkan dapat dilihat oleh ISP dan pihak lain. “Mereka yang berisiko tinggi karena kelemahan keamanan ini adalah orang-orang di negara-negara di mana pengawasan dan pelanggaran hak-hak sipil biasa terjadi,” tulis ProtonVPN saat itu. Itu mungkin bukan masalah mendesak bagi pengguna VPN biasa, tetapi ini penting.

ProtonVPN mengkonfirmasi bahwa bypass VPN bertahan dalam tiga pembaruan berikutnya untuk iOS 13. ProtonVPN menunjukkan dalam posting blognya bahwa Apple akan menambahkan fungsionalitas untuk memblokir koneksi yang ada, tetapi fungsi yang ditambahkan ini tampaknya tidak membuat perbedaan dalam hasil Horowitz.

Horowitz menguji aplikasi ProtonVPN pada pertengahan 2022 di iPad iOS 15.4.1 dan menemukan bahwa itu masih memungkinkan koneksi non-tunnel yang persisten ke layanan push Apple. Fungsi Kill Switch ditambahkan ke ProtonVPN, yang menjelaskan fungsinya sebagai memblokir semua lalu lintas jaringan jika terowongan VPN hilang, tidak mencegah kebocoran, menurut Horowitz.

Horowitz menguji lagi di iOS 15.5 dengan penyedia VPN dan aplikasi iOS yang berbeda (OVPN, menjalankan protokol WireGuard). iPad-nya terus mengajukan permintaan ke layanan Apple dan Amazon Web Services.

ProtonVPN telah menyarankan solusi yang “hampir sama efektifnya” dengan menutup semua koneksi secara manual saat memulai VPN: Sambungkan ke server VPN, aktifkan mode pesawat, lalu matikan. “Koneksi Anda yang lain juga harus terhubung kembali di dalam terowongan VPN, meskipun kami tidak dapat menjamin ini 100%,” tulis ProtonVPN. Horowitz menyarankan bahwa fungsi Mode Pesawat iOS sangat membingungkan sehingga menjadikannya bukan jawaban.

Posting Horowitz tidak menawarkan secara spesifik tentang bagaimana iOS dapat memperbaiki masalah ini. Dia juga tidak membahas VPN yang menawarkan “penerowongan terpisah”, yang berfokus pada janji VPN yang menangkap semua lalu lintas jaringan. Sementara itu, Horowitz merekomendasikan router VPN khusus seharga $130 sebagai solusi VPN yang benar-benar aman.

VPN, terutama penawaran komersial, terus menjadi bagian rumit dari keamanan dan privasi Internet. Memilih “VPN terbaik” telah lama menjadi tantangan. VPN dapat diturunkan oleh kerentanan, server tidak terenkripsi, pialang data yang rakus, atau dimiliki oleh Facebook.

Sumber: Ars Technica

Mode Lockdown baru Apple bertahan dari spyware pemerintah

by

Apple mengumumkan bahwa fitur keamanan baru yang dikenal sebagai Lockdown Mode akan diluncurkan dengan iOS 16, iPadOS 16, dan macOS Ventura untuk melindungi individu berisiko tinggi seperti pembela hak asasi manusia, jurnalis, dan pembangkang dari serangan spyware yang ditargetkan.

Setelah diaktifkan, Mode Penguncian akan memberi pelanggan Apple perpesanan, penelusuran web, dan perlindungan konektivitas yang dirancang untuk memblokir spyware tentara bayaran (seperti Pegasus NSO Group) yang digunakan oleh peretas yang didukung pemerintah untuk memantau perangkat Apple mereka setelah menginfeksi mereka dengan malware.

Upaya penyerang untuk berkompromi dengan perangkat Apple menggunakan eksploitasi tanpa klik yang menargetkan aplikasi perpesanan seperti WhatsApp dan Facetime atau browser web akan diblokir secara otomatis, melihat bahwa fitur rentan seperti pratinjau tautan akan dinonaktifkan.

Versi pertama dari Mode Lockdown akan mencakup perlindungan untuk beberapa fitur sistem operasi yang terkena serangan, termasuk:

Pesan: Sebagian besar jenis lampiran pesan selain gambar diblokir. Beberapa fitur, seperti pratinjau tautan, dinonaktifkan.
Penjelajahan web: Teknologi web kompleks tertentu, seperti kompilasi JavaScript just-in-time (JIT), dinonaktifkan kecuali pengguna mengecualikan situs tepercaya dari Mode Penguncian.

Layanan Apple: Undangan masuk dan permintaan layanan, termasuk panggilan FaceTime, diblokir jika pengguna belum pernah mengirim panggilan atau permintaan kepada pemrakarsa sebelumnya.

Koneksi kabel dengan komputer atau aksesori diblokir saat iPhone terkunci.
Profil konfigurasi tidak dapat dipasang, dan perangkat tidak dapat mendaftar ke manajemen perangkat seluler (MDM) saat Mode Penguncian diaktifkan.

Mode Penguncian Apple (Apple)

Pengumuman hari ini datang setelah Apple menggugat pembuat spyware Pegasus NSO Group pada November 2021 karena menargetkan dan dan memata-matai pengguna Apple menggunakan teknologi pengawasan NSO.

Apple mengatakan pada saat itu bahwa serangan yang disponsori negara menggunakan spyware NSO hanya menargetkan “sejumlah kecil” individu, di berbagai platform, termasuk Android dan iOS Apple.

Para penyerang menyebarkan perangkat lunak pengawasan NSO pada perangkat target profil tinggi yang disusupi, termasuk pejabat pemerintah, diplomat, pembangkang, akademisi, dan jurnalis di seluruh dunia.

Sejak Desember 2021, spyware NSO Group juga ditemukan di iPhone milik politisi, jurnalis, dan aktivis Catalan, diplomat Finlandia, pegawai pemerintah Inggris, dan pegawai Departemen Luar Negeri AS.

Biro Industri dan Keamanan (BIS) Departemen Perdagangan AS juga memberi sanksi kepada NSO Group dan tiga perusahaan lain dari Israel, Rusia, dan Singapura pada November atas pengembangan spyware dan penjualan alat peretasan yang digunakan oleh kelompok peretas yang didukung pemerintah.

Sumber: Bleeping Computer

Apple memblokir 1,6 juta aplikasi agar tidak menipu pengguna pada tahun 2021

by

Apple mengatakan minggu ini bahwa mereka memblokir lebih dari 343.000 aplikasi iOS yang diblokir oleh tim App Store App Review karena pelanggaran privasi tahun lalu, sementara 157.000 lainnya ditolak karena mencoba menyesatkan atau mengirim spam ke pengguna iOS.

Perusahaan menambahkan bahwa itu juga memblokir lebih dari 34.500 aplikasi agar tidak diindeks di App Store karena mereka menggunakan fitur yang tidak terdokumentasi atau tersembunyi.

Apple juga menghapus 155.000 lebih banyak aplikasi untuk taktik umpan dan beralih, seperti menambahkan fitur atau kemampuan baru setelah disetujui.

Sepanjang tahun 2021, tim Tinjauan Aplikasi menghentikan lebih dari 1,6 juta aplikasi dan pembaruan yang berisiko atau rentan agar tidak mendarat di App Store dan berpotensi menipu pengguna.

Tahun lalu, dalam laporan analisis pencegahan penipuan pertama perusahaan, Apple mengatakan bahwa hampir 1 juta aplikasi baru yang bermasalah dan hampir 1 juta pembaruan aplikasi ditolak atau dihapus oleh tim Peninjau Aplikasi.

Apple mengatakan bahwa upayanya untuk melindungi pelanggan dari upaya penipuan memerlukan pemantauan dan kewaspadaan banyak tim yang berfokus pada beberapa area, mulai dari App Review hingga Discovery Fraud.

Upaya Apple untuk melindungi pengguna dari penipuan disambut baik, mengingat aplikasi scam yang dikenal sebagai fleeceware masih menjadi masalah besar di App Store iOS, seperti yang ditemukan oleh para peneliti di Avast tahun lalu.

Aplikasi semacam itu memikat pelanggan dengan janji uji coba gratis, tetapi sebaliknya akan membutuhkan biaya berlangganan yang berlebihan hingga ribuan dolar per tahun.

Seperti yang dilaporkan Avast, sekitar 200 aplikasi fleeceware semacam itu dengan total perkiraan pendapatan lebih dari $400 juta di seluruh toko aplikasi Apple dan Google.

Satu tahun sebelumnya, peneliti Sophos juga melihat lusinan aplikasi fleeceware yang diunduh oleh pengguna iOS sekitar 3.680.000 kali dan terdaftar di antara aplikasi terlaris di App Store.

Apple juga menambahkan bahwa mereka mampu melindungi pelanggannya dari $1,5 miliar dalam transaksi yang berpotensi penipuan sepanjang tahun 2021.

Itu juga memblokir penggunaan lebih dari 3,3 juta kartu curian di platform toko online Apple dan melarang hampir 600.000 akun melakukan transaksi lagi di seluruh platformnya.

“Bagi banyak orang, tidak ada data yang lebih sensitif daripada informasi keuangan mereka. Itu sebabnya Apple telah berinvestasi besar-besaran dalam menciptakan teknologi pembayaran yang lebih aman seperti Apple Pay dan StoreKit,” tambah Apple.

Sumber: Bleeping Computer

Pembaruan darurat Apple memperbaiki zero-day yang digunakan untuk meretas Mac, Jam Tangan

by

Apple telah merilis pembaruan keamanan untuk mengatasi kerentanan zero-day yang dapat dieksploitasi oleh pelaku ancaman dalam serangan yang menargetkan perangkat Mac dan Apple Watch.

Zero-days adalah kelemahan keamanan yang tidak disadari oleh vendor perangkat lunak dan belum ditambal. Dalam beberapa kasus, jenis kerentanan ini mungkin juga memiliki eksploitasi konsep yang tersedia untuk umum sebelum tambalan tiba atau dapat dieksploitasi secara aktif di alam liar.

Dalam peringatan keamanan yang dikeluarkan pada hari Senin, Apple mengungkapkan bahwa mereka mengetahui laporan bug keamanan ini “mungkin telah dieksploitasi secara aktif.”

Cacat tersebut adalah masalah penulisan di luar batas (CVE-2022-22675) di AppleAVD (ekstensi kernel untuk decoding audio dan video) yang memungkinkan aplikasi mengeksekusi kode arbitrer dengan hak istimewa kernel.

Bug tersebut dilaporkan oleh peneliti anonim dan diperbaiki oleh Apple di macOS Big Sur 11.6., watchOS 8.6, dan tvOS 15.5 dengan pemeriksaan batas yang ditingkatkan.

Daftar perangkat yang terpengaruh termasuk Apple Watch Series 3 atau lebih baru, Mac yang menjalankan macOS Big Sur, Apple TV 4K, Apple TV 4K (generasi ke-2), dan Apple TV HD.

Sementara Apple mengungkapkan laporan eksploitasi aktif di alam liar, itu tidak merilis info tambahan mengenai serangan ini.

Dengan menahan informasi, perusahaan kemungkinan bertujuan untuk memungkinkan pembaruan keamanan menjangkau sebanyak mungkin Apple Watch dan Mac sebelum penyerang mengetahui detail zero-day dan mulai menyebarkan eksploitasi dalam serangan lain.

Meskipun zero-day ini kemungkinan besar hanya digunakan dalam serangan yang ditargetkan, tetap sangat disarankan untuk menginstal pembaruan keamanan macOS dan watchOS hari ini sesegera mungkin untuk memblokir upaya serangan.

Pada bulan Januari, Apple menambal dua zero-days lainnya yang dieksploitasi di alam liar untuk memungkinkan penyerang mendapatkan eksekusi kode arbitrer dengan hak kernel (CVE-2022-22587) dan melacak aktivitas penelusuran web dan identitas pengguna secara real-time (CVE-2022-22594) .

Satu bulan kemudian, Apple merilis pembaruan keamanan untuk menambal bug zero-day baru (CVE-2022-22620) yang dieksploitasi untuk meretas iPhone, iPad, dan Mac, yang menyebabkan crash OS dan eksekusi kode jarak jauh pada perangkat Apple yang disusupi.

Pada bulan Maret, dua lagi mengeksploitasi zero-days secara aktif di Intel Graphics Driver (CVE-2022-22674) dan dekoder media AppleAVD (CVE-2022-22675), yang terakhir juga di-backport hari ini di versi macOS yang lebih lama, di watchOS 8.6, dan di tvOS 15.5.

Lima zero-days ini berdampak pada iPhone (iPhone 6s dan yang lebih baru), Mac yang menjalankan macOS Monterey, dan beberapa model iPad.

Sepanjang tahun lalu, perusahaan juga menambal daftar panjang zero-days yang dieksploitasi di alam liar untuk menargetkan perangkat iOS, iPadOS, dan macOS.

Berikut daftar produk yang di update:

  • watchOS 8.6
  • tvOS 15.3
  • macOS Catalina
  • macOS Big Sur 11.6.6
  • macOS Monterey 12.4
  • iOS 15.5 and iPad OS 15.5
  • Xcode 13.4

Sumber: Bleeping Computer
Update Links: Software Patches Update

Apple, Google, dan Microsoft Akan Segera Menerapkan Masuk Tanpa Kata Sandi di Semua Platform Utama

by

Pada tanggal 5 Mei — Hari Kata Sandi Sedunia — kita mungkin telah selangkah lebih dekat dengan kata sandi yang sudah ketinggalan zaman.

Dalam upaya bersama, raksasa teknologi Apple, Google, dan Microsoft mengumumkan Kamis pagi bahwa mereka telah berkomitmen untuk membangun dukungan untuk masuk tanpa kata sandi di semua platform seluler, desktop, dan browser yang mereka kendalikan di tahun mendatang. Secara efektif, ini berarti bahwa otentikasi tanpa kata sandi akan datang ke semua platform perangkat utama dalam waktu yang tidak terlalu lama: sistem operasi seluler Android dan iOS; Browser Chrome, Edge, dan Safari; dan lingkungan desktop Windows dan macOS.

“Sama seperti kami mendesain produk kami agar intuitif dan mampu, kami juga mendesainnya untuk menjadi pribadi dan aman,” kata Kurt Knight, direktur senior pemasaran produk platform di Apple. “Bekerja dengan industri untuk membangun metode masuk baru yang lebih aman yang menawarkan perlindungan yang lebih baik dan menghilangkan kerentanan kata sandi adalah inti dari komitmen kami untuk membangun produk yang menawarkan keamanan maksimum dan pengalaman pengguna yang transparan — semua dengan tujuan menjaga pengguna ‘ informasi pribadi aman.”

Proses masuk tanpa kata sandi akan memungkinkan pengguna memilih ponsel mereka sebagai perangkat otentikasi utama untuk aplikasi, situs web, dan layanan digital lainnya, seperti yang dirinci Google dalam posting blog yang diterbitkan Kamis. Membuka kunci ponsel dengan apa pun yang ditetapkan sebagai tindakan default — memasukkan PIN, menggambar pola, atau menggunakan buka kunci sidik jari — akan cukup untuk masuk ke layanan web tanpa perlu memasukkan kata sandi, yang dimungkinkan melalui penggunaan token kriptografi unik yang disebut kunci sandi yang dibagikan antara ponsel dan situs web.

Dengan membuat login bergantung pada perangkat fisik, idenya adalah bahwa pengguna secara bersamaan akan mendapatkan keuntungan dari kesederhanaan dan keamanan. Tanpa kata sandi, tidak ada kewajiban untuk mengingat detail login di seluruh layanan atau membahayakan keamanan dengan menggunakan kembali kata sandi yang sama di banyak tempat. Sama halnya, sistem tanpa kata sandi akan mempersulit peretas untuk mengkompromikan detail login dari jarak jauh karena proses masuk memerlukan akses ke perangkat fisik; dan, secara teoritis, serangan phishing di mana pengguna diarahkan ke situs web palsu untuk menangkap kata sandi akan jauh lebih sulit untuk dipasang.

Vasu Jakkal, wakil presiden Microsoft untuk keamanan, kepatuhan, identitas, dan privasi, menekankan tingkat kompatibilitas di seluruh platform. “Dengan kunci sandi di perangkat seluler Anda, Anda dapat masuk ke aplikasi atau layanan di hampir semua perangkat, terlepas dari platform atau browser yang digunakan perangkat tersebut,” kata Jakkal dalam pernyataan melalui email. “Misalnya, pengguna dapat masuk ke browser Google Chrome yang berjalan di Microsoft Windows—menggunakan kunci sandi di perangkat Apple.”

Fungsionalitas lintas platform dimungkinkan oleh standar yang disebut FIDO, yang menggunakan prinsip-prinsip kriptografi kunci publik untuk mengaktifkan otentikasi tanpa kata sandi dan otentikasi multi-faktor dalam berbagai konteks. Ponsel pengguna dapat menyimpan kunci sandi unik yang sesuai dengan FIDO dan akan membagikannya dengan situs web untuk autentikasi hanya saat ponsel tidak terkunci. Per pos Google, kunci sandi juga dapat dengan mudah disinkronkan ke perangkat baru dari cadangan cloud jika ponsel hilang.

Sejauh ini, Apple, Google, dan Microsoft semuanya mengatakan bahwa mereka mengharapkan kemampuan masuk baru tersedia di seluruh platform di tahun depan, meskipun peta jalan yang lebih spesifik belum diumumkan. Meskipun plot untuk membunuh kata sandi telah berlangsung selama bertahun-tahun, ada tanda-tanda bahwa kali ini mungkin akhirnya berhasil.

Sumber: The Verge