Blant andre Ars Technica melder nå om en nylig avdekket sårbarhet i Apples MDM-løsning (mobile device management). Sårbarheten gjør det enkelt å introdusere skjulte enheter med onde intensjoner inn i bedriftssystemer som bruker Apples MDM-løsninger.
Funnene ble gjort av sikkerhetsforskere ved Duo Security, som beskriver problemet på selskapets blogg.
DEP-sårbarheter
Sårbarheten ligger nærmere bestemt i Apples såkalte Device Enrollment Program (DEP), verktøyet som brukes for innrullering i selskapets MDM-løsning.
MDM refererer for ordens skyld til det som systemadministratorer bruker til å blant annet installere eller fjerne applikasjoner på tilknyttede enheter, håndheve retningslinjer for bedriften og inspisere enhetene – og kalles gjerne flåtestyring på norsk.
Det Duo Security-forskerne fant ut var at DEP-løsningen har en autentiseringssvakhet som innebærer at enhetene som innrulleres kun autentiseres via enhetens serienummer i forkant av innrulleringen.
Enkelt å skaffe
Ved å skaffe seg serienumre til enheter som allerede er innrullert kan hackere dermed innrullere sine egne enheter på MDM-serveren og skaffe seg privilegert tilgang til organisasjonens systemer.
Som Duo Security peker på kan serienumre være enkle å skaffe seg, da slike i utgangspunktet ikke er hemmelige. Siden de ofte ikke er beskyttet kan de i en del tilfeller kan de søkes opp på nettet, og det er også mulig å reprodusere dem.
Dette kan gjøres siden serienumre ifølge forskerne er forutsigbare og genereres etter velkjente metoder. Dermed kan hackere generere sin egne serienumre og deretter bruke DEP-programmeringsgrensesnittet for å teste om numrene er registrerte i DEP.
Kan ramme bredt
Duo Security sier det er vanskelig å anslå hvor stort omfanget av problemet er, men i utgangspunktet er alle som benytter Apples DEP-tjeneste berørt. Selskapet bemerket imidlertid at ikke alle som bruker Apple-enheter i IT-miljøene sine nødvendigvis bruker Apples DEP-løsning.
Selskapet anbefaler på bakgrunn av funnene at Apple implementerer sterkere autentiseringsløsninger i MDM-systemet sitt. Alle de tekniske detaljene kan du finne i selve forskningsdokumentet.
Les også: Slik kan nye Mac-er som brukes i bedrifter hackes allerede under oppstarten »
