S3 Ep97: האם האייפון שלך נפגע? כיצד תוכל לדעת? [אודיו + טקסט]

חותמת זמן: 25 באוגוסט, 2022 11:37
צומת המקור: 1638221

by
פול דוקלין

תקשיב עכשיו

עם דאג אמות ופול דאקלין.

מוזיקת ​​אינטרו ואאוטרו מאת אדית מדג'.

לחץ וגרור על גלי הקול למטה כדי לדלג לכל נקודה. אתה יכול גם להקשיב ישירות בסאונדקלאוד.

אתה יכול להאזין לנו ב Soundcloud, Apple Podcasts, Google Podcasts, Spotify, Stitcher ובכל מקום שבו נמצאים פודקאסטים טובים. או פשוט זרוק את כתובת האתר של הזנת ה-RSS שלנו לתוך הפודקטצ'ר האהוב עליך.

קרא את התמליל

DOUG.  כספומטים של ביטקוין הותקפו, ג'נט ג'קסון ריסקה מחשבים, ואפס ימים בשפע.

כל זה ועוד בפודקאסט הביטחון העירום.

[מודם מוזיקלי]

ברוכים הבאים לפודקאסט, כולם.

אני דאג אמות'.

איתי, כמו תמיד, פול דאקלין.

פול, מה שלומך?

ברווז.  אני בסדר גמור, דאגלס.

ברוך שובך מהחופשה שלך!

DOUG.  טוב לחזור לביטחון של המשרד שלי, הרחק מילדים קטנים.

[צחוק]

אבל זה כבר סיפור אחר לפעם אחרת.

כפי שאתה יודע, אנחנו אוהבים להתחיל את המופע עם קצת היסטוריית טכנולוגיה.

השבוע, ב-24 באוגוסט 1995, השיר "Start Me Up" של הרולינג סטונס שוחרר, ברישיון, כמנגינת הנושא שהשיקה את Microsoft Windows 95.

כפי שחזה השיר, "You make a grown man cry", וכמה שונאי מיקרוסופט בוכים מאז.

[מסכן] אהבתי את Windows 95...

...אבל כמו שאתה אומר, אכן היית צריך להפעיל אותו מספר פעמים, ולפעמים זה היה מתחיל מעצמו.

ברווז.  תפעיל אותי?!

מי ידע לאן *זה* יוביל?

אני חושב שהיה לנו מושג, אבל אני לא חושב שדמיינו שזה יהפוך ל-Windows 11, נכון?

DOUG.  לא עשינו זאת.

ואני אוהב את Windows 11 - יש לי מעט תלונות על זה.

ברווז.  אתה יודע מה?

למעשה הלכתי ופרצתי את מנהל החלונות שלי בלינוקס, שעושה רק חלונות מלבניים.

הוספתי פריצה קטנה שמכניסה פינות מעוגלות מעט, רק בגלל שאני אוהב את איך שהם נראים ב-Windows 11.

ועדיף שלא אגיד את זה בפומבי - שהשתמשתי בתכונה ויזואלית של Windows 11 בתור הדחף...

או ששמי יהיה עפר, דאגלס!

DOUG.  הו, שלי!

טוב, אז בוא לא נדבר על זה יותר.

אבל תן לנו להישאר על הנושא של היסטוריה טכנולוגית ומוזיקה.

ואני יכול לשאול אותך את השאלה הפשוטה הזו...

מה ג'נט ג'קסון ו התקפות מניעת שירות יש מכנה משותף?

ברווז.  ובכן, אני לא חושב שאנחנו אומרים שג'נט ג'קסון הוצאה פתאום בתור הקססור המרושע של תחילת שנות ה-2000, או אפילו שנות ה-1990, או אפילו סוף שנות ה-80.

DOUG.  לא בכוונה, לפחות.

ברווז.  לא... לא בכוונה.

זהו סיפור שמגיע ממקור לא פחות מ-ueberblogger במיקרוסופט, ריימונד צ'ן.

הוא כותב את הבלוגים הקצרים והחדים ביותר - מסביר דברים, לפעמים קצת נגד תרבות, לפעמים אפילו חופר קצת במעסיק שלו, ואומר, "על מה חשבנו אז?"

והוא כל כך מפורסם שאפילו העניבות שלו - הוא תמיד לובש עניבה, עניבות צבעוניות יפות - אפילו לעניבות שלו יש עדכון טוויטר, דאג.

[צחוק]

אבל ריימונד צ'ן כתב סיפור משנת 2005, אני חושב, שם יצרן חומרת Windows של היום (הוא לא אומר איזה מהם) יצר קשר עם מיקרוסופט ואמר, "יש לנו בעיה ש-Windows כל הזמן קורס, ואנחנו" צמצמתי את זה למועד שבו המחשב מנגן, דרך מערכת השמע שלו, את השיר אומת הקצב

מפורסם מאוד שיר של ג'נט ג'קסון - אני די אוהב את זה, למעשה - מ-1989, תאמינו או לא.

[צחוק]

"כשהשיר הזה מתנגן, המחשב קורס. ומעניין, זה גם קורס מחשבים השייכים למתחרים שלנו, וזה יקרוס מחשבים שכנים".

ברור שהם הבינו במהירות, "זה קשור לרטט, בוודאי?"

רטט בדיסק הקשיח, או משהו כזה.

והטענה שלהם הייתה שבמקרה זה התאים למה שנקרא תדר התהודה של הכונן הקשיח, עד כדי כך שהוא יקרוס ויפיל את מערכת ההפעלה איתו.

אז הם הכניסו מסנן אודיו שמנתק את התדרים שלדעתם היו בעלי הסבירות הגבוהה ביותר לגרום לדיסק הקשיח לרטוט את עצמו לצרות.

DOUG.  והחלק האהוב עלי בזה, מלבד כל הסיפור...

[צחוק]

...האם יש CVE *הונפק בשנת 2022* על זה!

ברווז.  כן, הוכחה שלפחות לחלק מהאנשים בשירות הציבורי יש חוש הומור.

DOUG.  אוהב את זה!

ברווז.  CVE-2022-23839: סוגריים של מניעת שירות (תקלה במכשיר וקריסת מערכת).

"כונן דיסקים מסוג OEM של 5400 סל"ד, כפי שנשלח עם מחשבים ניידים ב-2005 לערך, מאפשר לתוקפים קרובים פיזית לגרום למניעת שירות באמצעות התקפת תדר תהודה עם אות השמע מה- אומת הקצב קליפ."

אני בספק אם זה היה משהו ספציפי ל-Rhythm Nation... זה פשוט הרעיד את הדיסק הקשיח שלך וגרם לו להתקלקל.

ולמעשה, כפי שציין אחד המגיבים שלנו, יש סרטון מפורסם משנת 2008 שתוכל למצוא ביוטיוב (שמנו את הקישור בתגובות על המאמר באבטחה עירומה) ​​שכותרתו "צועקים על שרתים".

זה היה חוקר ב-Sun - אם הוא רכן פנימה וצעק לתוך מערך כונני דיסקים, אתה יכול לראות על המסך היה עלייה עצומה בשגיאות דיסק שניתן לשחזר.

מספר עצום ועצום של שגיאות דיסק כשהוא צעק שם, וברור שהרעידות דחקו את הדיסקים מהצעד שלהם.

DOUG.  כן!

סיפור מוזר מצוין להתחיל את ההצגה.

ועוד סוג של סיפור מוזר הוא: ביטקוין מתקפת רפרוף בכספומט שלא הכיל תוכנה זדונית ממשית.

איך הם הצליחו להוציא את זה?

ברווז.  כן, הוקסמתי מהסיפור הזה מכמה חשבונות.

כפי שאתה אומר, אחת מהן היא שחשבונות הלקוחות היו "עלולים" או "רחפנים" *ללא השתלת תוכנות זדוניות*.

זה היה רק ​​שינויי תצורה, שהופעלו באמצעות פגיעות.

אבל גם נראה שאו שהתוקפים רק ניסו את זה, או שזה היה יותר הוכחה לקונספציה, או שהם קיוו שזה יישאר מעיניהם במשך עידנים והם יחלצו כמויות קטנות על פני תקופה ארוכה של זמן בלי כל מי שמודע.

DOUG.  כן.

ברווז.  זה הבחין, כנראה די מהר, והנזק ככל הנראה הוגבל ל- ובכן, אני אומר "רק" - $16,000.

שזה שלוש סדרי גודל, או פי 1000, פחות מהכמויות הטיפוסיות שבדרך כלל אנחנו צריכים אפילו כדי להתחיל לדבר על הסיפורים האלה.

DOUG.  די טוב!

ברווז.  100 מיליון דולר, 600 מיליון דולר, 340 מיליון דולר...

אבל המתקפה לא הייתה נגד הכספומטים עצמם. זה היה נגד המוצר Coin ATM Server שאתה צריך לרוץ איפשהו אם אתה לקוח של החברה הזו.

זה נקרא בתים כלליים.

אני לא יודע אם הוא קרוב משפחה של אותה אישיות מפורסמת של Windows כישלון כללי...

[צחוק]

אבל זו חברה צ'כית בשם General Bytes, והם מייצרים את הכספומטים האלה של מטבעות קריפטוגרפיים.

אז, הרעיון הוא שאתה צריך את השרת הזה שהוא הקצה האחורי של כספומט אחד או יותר שיש לך.

או שאתה מפעיל אותו על השרת שלך, בחדר השרתים שלך, בשליטה זהירה משלך, או שאתה יכול להפעיל אותו בענן.

ואם אתה רוצה להפעיל את זה בענן, הם עשו עסקה מיוחדת עם ספק האירוח Digital Ocean.

ואם אתה רוצה, אתה יכול לשלם להם 0.5% עמלת עסקה, ככל הנראה, והם לא רק ישימו את השרת שלך בענן, הם ינהלו אותו עבורך.

הכל בסדר גמור.

הבעיה היא שהייתה מה שנשמע כמו פגיעות עקיפת אימות בחזית ה-Coin ATM Server.

אז אם היית מכניס סיסמאות סופר מסובכות, 2FA, 3FA, 12FA, נראה שזה לא משנה. [צחוק]

היה מעקף שיאפשר למשתמש לא מורשה ליצור חשבון ניהול.

עד כמה שאני יכול להבין (הם לא היו פתוחים לגמרי, באופן מובן, לגבי איך בדיוק פעלה המתקפה), נראה שהתוקפים הצליחו להערים על המערכת לחזור למצב "ההגדרה הראשונית" שלה.

וכמובן, אחד הדברים כשאתה מגדיר שרת, הוא אומר, "עליך ליצור חשבון ניהול."

הם יכולים להגיע כל כך רחוק, כדי שיוכלו ליצור חשבון ניהולי חדש ואז, כמובן, אז הם יוכלו לחזור בתור מנהל מערכת שזה עתה הוטבע... ללא צורך בתוכנה זדונית.

הם לא היו צריכים לפרוץ, להפיל קבצים כלשהם, לעשות העלאת הרשאות בתוך המערכת.

ובמיוחד, נראה שאחד הדברים שהם עשו הוא...

...במקרה שלקוח ניסה בשוגג לשלוח מטבעות לטעות, או לא קיים, אולי אפילו לארנק חסום, בתוכנה זו, מפעילי הכספומטים יכולים לציין ארנק איסוף מיוחד עבור מה שיהיו עסקאות לא חוקיות.

זה כמעט כמו סוג של ארנק נאמנות.

אז מה שהנוכלים עשו זה: הם שינו את מזהה הארנק "יעד תשלום לא חוקי" לאחד משלהם.

לכן, ככל הנראה הרעיון שלהם היה שבכל פעם שהייתה עסקה שגויה או לא חוקית של לקוח, מה שעשוי להיות די נדיר, ייתכן שהלקוח אפילו לא יבין שהכספים לא עברו אם הוא שילם על משהו בעילום שם...

אבל הנקודה היא שזו אחת מאותן התקפות שמזכירות לנו שתגובת איומי אבטחת סייבר בימים אלה... זה כבר לא עוסק בפשטות, "נו טוב, מצא את התוכנה הזדונית; להסיר את התוכנה הזדונית; להדביק את המדבקות."

כל הדברים האלה חשובים, אבל במקרה זה, החלת התיקון אכן מונעת ממך להיפרץ בעתיד, אבל אלא אם כן תלך ותאמת לחלוטין את כל ההגדרות שלך...

...אם נפרצו לפני כן, תישאר פרוץ לאחר מכן, ללא תוכנות זדוניות למצוא בשום מקום.

זה רק שינויי תצורה במסד הנתונים שלך.

DOUG.  יש לנו שירות MDR; להרבה חברות אחרות יש שירותי MDR.

אם יש לך בני אדם שמחפשים באופן יזום דברים כאלה, האם זה משהו שיכולנו לתפוס עם שירות MDR?

ברווז.  ובכן, ברור שאחד הדברים שהייתם מקווים הוא ששירות MDR - אם אתם מרגישים שיצאתם מעומק הלב, או שאין לכם זמן, ואתם מביאים חברה לא רק שתעזור לכם, אלא בעיקרו כדי לדאוג לאבטחת הסייבר שלך ולהעלות אותו לרמה אחידה...

..אני יודע שה Sophos MDR הצוות ימליץ על זה: "היי, למה שרת מטבע כספומט פתוח לכל האינטרנט? למה אתה לפחות לא הופך את זה לנגיש דרך איזו רשת ביניים שבה יש לך איזושהי מערכת אפס אמון שמקשה על הנוכלים להיכנס למערכת מלכתחילה?"

תהיה לזה גישה יותר מפורטת לאפשר לאנשים להיכנס, כי נראה שנקודת התורפה האמיתית כאן הייתה שהתוקפים האלה, הנוכלים, היו מסוגלים לעשות סריקת IP של השרתים של Digital Ocean.

הם בעצם פשוט שוטטו, חיפשו שרתים שמפעילים את השירות המסוים הזה, ואז כנראה חזרו מאוחר יותר וניסו לראות למי מהם הם יכולים לפרוץ.

זה לא טוב לשלם לצוות MDR להיכנס ולעשות אבטחה בשבילך אם אתה לא מוכן לנסות לתקן את הגדרות האבטחה מלכתחילה.

וכמובן, הדבר הנוסף שהייתם מצפים שצוות MDR טוב יעשה, כשהעיניים האנושיות שלו על המצב, בסיוע כלים אוטומטיים, הוא לזהות דברים ש*כמעט נראים נכון אבל לא*.

אז כן, יש הרבה דברים שאתה יכול לעשות, בתנאי ש: אתה יודע איפה אתה צריך להיות; אתה יודע איפה אתה רוצה להיות; ויש לך דרך להבדיל בין ההתנהגות הטובה להתנהגות הרעה.

כי, כפי שאתה יכול לדמיין, בהתקפה כזו - מלבד העובדה שאולי החיבורים המקוריים הגיעו ממספר IP שלא היית מצפה לו - אין שום דבר לא ראוי.

הנוכלים לא ניסו להשתיל משהו, או שינו תוכנה כלשהי שעלולה להפעיל אזעקה.

הם אכן עוררו פגיעות, אז יהיו כמה תופעות לוואי ביומנים...

...השאלה היא, האם אתה מודע למה שאתה יכול לחפש?

האם אתה מחפש באופן קבוע?

ואם אתה מוצא משהו חריג, האם יש לך דרך טובה להגיב במהירות וביעילות?

DOUG.  גדול.

ואם כבר מדברים על מציאת דברים, יש לנו שני סיפורים על אפס-ימים.

בואו נתחיל עם Chrome zero day ראשון.

ברווז.  כן, הסיפור הזה התפוצץ באמצע השבוע שעבר, רגע אחרי שהקלטנו את הפודקאסט של השבוע שעבר, וזה היה 11 תיקוני אבטחה שיצאו באותו זמן.

אחד מהם היה בולט במיוחד, וזה היה CVE-2022-2856, והוא תואר כ"אימות לא מספיק של קלט לא מהימן ב-Intents."

כוונה. אם אי פעם עשית תכנות אנדרואיד... זה הרעיון של פעולה בדף אינטרנט שאומרת, "ובכן, אני לא רק רוצה שזה יוצג. כשדברים כאלה מתרחשים, אני רוצה שזה יטופל על ידי האפליקציה המקומית האחרת הזו."

זה אותו סוג של רעיון כמו כתובת אתר קסומה שאומרת, "ובכן, למעשה, מה שאני רוצה לעשות זה לעבד את זה באופן מקומי."

אבל לכרום ולאנדרואיד יש את הדרך הזו לעשות זאת שנקראת Intents, ואתה יכול לדמיין כל דבר שמאפשר לנתונים לא מהימנים בדף אינטרנט להפעיל אפליקציה מקומית לעשות משהו עם הנתונים הלא מהימנים האלה...

... יכול להיגמר רע מאוד.

לדוגמה, "עשה את הדבר הזה שאתה באמת לא אמור לעשות."

כמו, "היי, הפעל מחדש את ההגדרה, צור משתמש ניהולי חדש"... בדיוק כמו שדיברנו עליו בשרת הכספומט של מטבעות.

אז הבעיה כאן הייתה שגוגל הודתה שזהו יום אפס, כי ידוע שהוא נוצל בחיים האמיתיים.

אבל הם לא נתנו פרטים לגבי אילו אפליקציות בדיוק מופעלות; איזה סוג של נתונים יכול לעשות את ההפעלה; מה עלול לקרות אם האפליקציות הללו יופעלו.

אז, לא היה ברור אילו אינדיקטורים של פשרה [IoCs] אתה עשוי לחפש.

מה ש*היה* ברור הוא שהעדכון הזה היה חשוב יותר מהעדכון הממוצע של כרום, בגלל החור של אפס יום.

ודרך אגב, זה חל גם על Microsoft Edge.

מיקרוסופט הוציאה התראת אבטחה ואמרה, "כן, בדקנו, ועד כמה שאנחנו יכולים לראות, זה כן חל גם על Edge. בערך ירשנו את הבאג מבסיס הקוד של Chromium. צפה בחלל הזה."

וב-19 באוגוסט 2022, מיקרוסופט הוציאה עדכון Edge.

אז בין אם יש לך Chromium, Chrome, Edge או כל דפדפן הקשור ל-Chromium, אתה צריך ללכת לוודא שיש לך את הגרסה העדכנית ביותר.

ואתם מתארים לעצמכם שכל דבר מתאריך 18 באוגוסט 2022 או מאוחר יותר כנראה מכיל את התיקון הזה.

אם אתה מחפש בהערות גרסה עבור כל דפדפן מבוסס Chromium שבו אתה משתמש, אתה רוצה לחפש: CVE 2022-2856.

DOUG.  בסדר, אז יש לנו א חור לביצוע קוד מרחוק בתוכנת עיבוד HTML WebKit של אפל, מה שעלול להוביל לחור בביצוע ליבה...

ברווז.  כן, זה היה סיפור מרגש עוד יותר!

כמו שאנחנו תמיד אומרים, העדכונים של אפל בדיוק הגיעו כשהם הגיעו.

אבל זה הופיע פתאום, והוא רק תיקן את שני החורים האלה, ושניהם בטבע.

האחד, כפי שאתה אומר, היה באג ב-WebKit, CVE-2022-32893, והשני, שהוא -32894, הוא, אם תרצה, חור מקביל בקרנל עצמו... שניהם תוקנו בו-זמנית, שניהם בטבע.

זה מריח כאילו הם נמצאו באותו זמן כי הם נוצלו במקביל.

הבאג של WebKit להיכנס, ובאג הקרנל כדי לקום ולהשתלט על כל המערכת.

כשאנחנו שומעים תיקונים כאלה מאפל, שם כל מה שהם מתקנים זה באג-רשת פלוס-גרעין-באג בו-זמנית: "בטבע! תיקון עכשיו!"...

המחשבה המיידית שלך היא, אה-הו, זה יכול לאפשר פריצת Jail, שבה בעצם כל מגבלות האבטחה של אפל מוסרות, או תוכנות ריגול.

אפל לא אמרה הרבה יותר מאשר: "יש את שני הבאגים האלה; הם נמצאו באותו זמן, דיווח על ידי חוקר אנונימי; שניהם מתוקנים; והם חלים על כל מכשירי האייפון, האייפדים וה-Mac הנתמכים."

והדבר המעניין הוא שהגרסה האחרונה של macOS, מונטריי... שקיבלה מיד תיקון שלם ברמת מערכת ההפעלה.

שתי הגרסאות הקודמות הנתמכות של Mac (זה ביג סור וקטלינה, macOS 10 ו-11)... הן לא קיבלו תיקונים ברמת מערכת ההפעלה, כאילו לא היו פגיעות לניצול הליבה.

אבל הם *קיבלו* גרסה חדשה לגמרי של ספארי, שצורפה עם עדכון מונטריי.

זה מצביע על כך שהם בהחלט בסיכון להשתלטות זו על WebKit.

וכפי שאמרנו בעבר, דאג, הדבר הקריטי לגבי באגים קריטיים ב-WebKit של אפל הוא כפול:

(1) במכשירי iPhone ו-iPad, כל הדפדפנים וכל תוכנות עיבוד האינטרנט, אם יש להכניס אותה ל-App Store, *חייב להשתמש ב-WebKit*.

גם אם זה פיירפוקס, גם אם זה כרום, גם אם הוא אמיץ, באיזה דפדפן זה יהיה... הם צריכים לקרוע כל מנוע שהם עשויים להשתמש בו, ולהכניס את מנוע ה-WebKit מתחתיו.

אז רק הימנעות מספארי באייפון לא תעקוף את הבעיה הזו. זה (1).

מספר (2) הוא שיישומים רבים, ב-Mac וב-iDevices כאחד, משתמשות ב-HTML כדרך נוחה, יעילה ויפה למראה לעשות דברים כמו מסכי עזרה ואודות Windows.

למה שלא תעשה?

למה לבנות גרפיקה משלך כאשר אתה יכול ליצור דף HTML שיתאים את עצמו לכל מכשיר שיש לך?

לכן, הרבה אפליקציות *שאינן דפדפני אינטרנט* עשויות להשתמש ב-HTML כחלק מ"שפה" של תצוגת המסך שלהן, אם תרצו, בעיקר במידע על מסכים ו-Help Windows.

זה אומר שהם כנראה משתמשים בתכונה של אפל בשם WebView, שעושה עבורם את עיבוד ה-HTML.

ו- WebView מבוסס על WebKit, ול- WebKit יש את הבאג הזה!

לכן, זו לא רק בעיה בדפדפן בלבד.

ניתן, בתיאוריה, לנצל אותו כנגד כל אפליקציה שבמקרה משתמשת ב-HTML, גם אם זה רק מסך ה-About.

אז אלו הן שתי הבעיות הקריטיות עם הבעיה הקריטית הספציפית הזו, כלומר: (1) הבאג ב-WebKit, וכמובן, (2) במונטריי ובמכשירי אייפון ואייפד, העובדה שהייתה גם פגיעות ליבה , שככל הנראה ניתן לנצל בשרשרת.

זה אומר שלא רק שהנוכלים יכלו להיכנס, הם יכלו לטפס במעלה הסולם ולהשתלט.

וזה באמת רע מאוד.

DOUG.  בסדר, זה מוביל יפה לשאלת הקורא שלנו בסוף כל תוכנית.

על סיפור אפס יום כפול של אפל, הקוראת סוזן שואלת אבל פשוט שאלה מצוינת: "איך משתמש יידע אם המנצלים בוצעו שניהם בטלפון שלו?"

כיצד תוכל לדעת?

ברווז.  דאג... הדבר המסובך במקרה הזה הוא שכנראה לא תעשה זאת.

כלומר, *אולי* יש איזו תופעת לוואי ברורה, כמו שהטלפון שלך פתאום מתחיל לקרוס כשאתה מפעיל אפליקציה שהייתה אמינה לחלוטין בעבר, אז אתה מתחיל לחשוד ותקבל איזה מומחה שיסתכל על זה בשבילך, אולי בגלל שאתה ראה את עצמך בסיכון גבוה שמישהו ירצה לפצח את הטלפון שלך.

אבל עבור המשתמש הממוצע, הבעיה כאן היא שאפל אמרה, "ובכן, יש את הבאג הזה ב-WebKit; יש את הבאג הזה בקרנל."

לא מסופקים אינדיקטורים של פשרה; ללא קוד הוכחת מושג; אין תיאור בדיוק אילו תופעות לוואי עלולות להישאר מאחור, אם בכלל.

אז, זה כמעט כאילו הדרך היחידה לגלות בדיוק אילו תופעות לוואי גלויות הבאגים האלה עשויים להשאיר מאחור לצמיתות. שתוכל ללכת ולחפש...

... יהיה בעצם לגלות מחדש את הבאגים האלה בעצמכם, ולהבין איך הם עובדים, ולכתוב דוח.

ולמיטב ידיעתי, פשוט אין אינדיקטורים של פשרה (או אינדיקטורים מהימנים) בחוץ שאתה יכול ללכת ולחפש בטלפון שלך.

הדרך היחידה שאני יכול לחשוב על זה תאפשר לך לחזור למעשה למצב "טוב ידוע" היא לחקור כיצד להשתמש במערכת ה-DFU של אפל (שלדעתי מייצגת Device Firmware Update).

בעיקרון, יש רצף מקשים מיוחד שאתה לוחץ עליו, ואתה צריך לחבר את המכשיר שלך עם כבל USB למחשב מהימן, ובעצם הוא מתקין מחדש את כל הקושחה... הקושחה העדכנית ביותר - אפל לא תאפשר לך לשדרג לאחור, כי הם יודעים שאנשים משתמשים בזה לתחבולות פריצת כלא). [צוחק]

אז, זה בעצם מוריד את הקושחה העדכנית ביותר - זה לא כמו עדכון, זה התקנה מחדש.

זה בעצם מנגב את המכשיר שלך, ומתקין הכל שוב, מה שמחזיר אותך למצב ידוע-טוב.

אבל זה בערך כמו לזרוק את הטלפון שלך ולקנות אחד חדש - אתה צריך להגדיר אותו מההתחלה, כך שכל הנתונים שלך יימחקו.

וחשוב מכך, אם יש לך רצפי יצירת קוד 2FA שהוגדרו שם, *הרצפים האלה יימחקו*.

אז, ודא, לפני שאתה עושה עדכון קושחה של מכשיר שבו הכל יימחק, שיש לך דרכים לשחזר חשבונות או להגדיר את 2FA רענן.

מכיוון שאחרי שתעשה את ה-DFU הזה, כל רצפי האימות שתכנת בטלפון שלך ייעלמו, ולא תוכל לשחזר אותם.

DOUG.  בסדר. [נשמע מופל] אני...

ברווז.  זו לא הייתה תשובה טובה במיוחד, דאג...

DOUG.  לא, זה לא קשור לזה - רק הערה צדדית.

שדרגתי את טלפון ה-Pixel שלי לאנדרואיד 13, וזה חיסל את הטלפון, ואיבדתי את חפצי ה-2FA שלי, וזה היה עניין גדול!

ברווז.  *לבנת* את זה [עשה את זה לבלתי ניתן לאתחול לנצח] או פשוט מחק את זה?

הטלפון עדיין עובד?

DOUG.  לא, זה לא נדלק.

הוא קפא, וכיביתי אותו, ולא יכולתי להפעיל אותו מחדש!

ברווז.  הו באמת?

DOUG.  אז הם שולחים לי אחד חדש.

בדרך כלל כאשר אתה מקבל טלפון חדש, אתה יכול להשתמש בטלפון הישן כדי להגדיר את הטלפון החדש, אבל הטלפון הישן לא נדלק...

...אז הסיפור הזה פשוט הגיע קצת קרוב לבית.

עשה לי קצת מלנכוליה, כי עכשיו אני משתמש ב-Pixel XL המקורי, שהוא הטלפון היחיד שהיה לי כגיבוי.

והוא גדול, מסורבל, ואיטי, והסוללה לא טובה... אלה החיים שלי.

ברווז.  ובכן, דאג, אתה יכול לגשת לחנות הטלפונים ולקנות לעצמך אייפון SE 2022 של אפל [DOUG מתחיל לצחוק כי הוא מעריץ אנדרואיד!

DOUG.  [מבוהלת] אין מצב!

לא! לא! לא!

משלוח של שלי ליומיים.

ברווז.  דק, קל משקל, זול ומדהים.

נראה הרבה יותר טוב מכל טלפון Pixel - יש לי אחד מכל אחד.

טלפונים של Pixel הם נהדרים, אבל...

[שיעול ביודעין, לוחש] ... האייפון יותר טוב, דאג!

DOUG.  בסדר, סיפור אחר לפעם אחרת!

סוזן, תודה ששלחת את השאלה הזו.

זו הייתה תגובה על המאמר הזה, וזה נהדר. אז לך ו תבדוק את זה.

אם יש לכם סיפור מעניין, תגובה או שאלה שתרצו לשלוח, נשמח לקרוא אותם בפודקאסט.

אתה יכול לשלוח דוא"ל tips@sophos.com; אתה יכול להגיב על כל אחד מהמאמרים שלנו; או שאתה יכול להתקשר אלינו בחברתית: @NakedSecurity.

זו ההופעה שלנו להיום - תודה רבה על ההקשבה.

עבור פול דאקלין, אני דאג אמות', ומזכיר לך, עד הפעם הבאה...

שניהם.  הישאר בטוח!

[מודם מוזיקלי]

בול זמן:

עוד מ ביטחון עירום