Beveiligingsonderzoeker onthult iPhone-ontwerpgebreken

Apple's iPhone heeft twee ontwerpfouten die potentiële beveiligingsproblemen kunnen opleveren, volgens een onderzoeker.

De eerste betreft de e-mailtoepassing van de iPhone, die automatisch beelden downloadt binnen een e-mail, zei Aviv Raff, een veiligheidsonderzoeker, op donderdag.

Dat is problematisch omdat de afbeelding naar een server-side-script verwijst wanneer deze wordt gedownload, en de afzender aangeeft dat de e-mail is geopend en het e-mailadres geldig is. Het adres kan dan worden gespamd.

[Meer lezen: de beste Android-telefoons voor elk budget.]

E-mailtoepassingen zijn meestal geconfigureerd om afbeeldingen van niet-vertrouwde bronnen te blokkeren om het probleem te voorkomen, zei Raff. Hij suggereert dat gebruikers het gebruik van de e-mailtoepassing vermijden of voorzichtig zijn bij het klikken op links in een e-mail die afkomstig is van een niet-vertrouwde bron.

De tweede ontwerpfout is hoe de e-mailtoepassing van de iPhone URL's toont (Uniform Resource) Locators). Berichten kunnen in platte tekst of HTML (Hypertext Markup Language) worden weergegeven. In de HTML-modus kan een gebruiker een e-mail ontvangen waarin de tekst van de link anders is dan de daadwerkelijke link. De echte koppeling kan worden weergegeven door de muis over de tekst te houden en een pop-upvenster onthult de URL. Maar het probleem is dat het pop-upvenster de URL afkapt, omdat er onvoldoende ruimte op het scherm is.

Een aanvaller kan een website met een lang subdomein maken om een ​​gebruiker voor de gek te houden door te denken dat het een legitieme site is. Sterker nog, een website die is ontworpen om een ​​persoon te misleiden tot het onthullen van persoonlijke informatie, ook wel bekend als een phishing-site, zei.

Nadat de slechte link in de Safari-webbrowser is opgediend, kan de gebruiker nog steeds slechts een fractie zien van de URL. Als de adresbalk wordt aangeklikt in mobiele Safari, springt de cursor naar het einde van de URL, dus een persoon moet terugbladeren om de volledige URL te zien, schreef Raff op zijn blog.

Noch Apple's mobiele Safari noch de desktop versie van de browser heeft een phishing-filter.

Raff zei dat hij Apple meer dan twee maanden geleden op de hoogte bracht van de ontwerpfouten. Het bedrijf vertelde Raff dat ze aan het werken waren aan oplossingen, maar had niet gezegd wanneer die oplossingen zouden worden vrijgegeven.

Raff zei dat hij besloot om de informatie openbaar te maken, aangezien Apple sindsdien minstens drie iPhone-updates heeft uitgebracht, maar niet heeft ingegaan op de problemen.

"Ik denk dat ze hun eigen gebruikers veel meer risico stellen door dit niet te verhelpen", zei Raff in een interview. "In ieder geval weten de gebruikers die dit lezen voorzichtig te zijn. Het is slechts een kwestie van tijd totdat de slechteriken dit toch zullen vinden."

Apple kon niet onmiddellijk worden bereikt voor commentaar.