Cześć. Zastanawiam się. Dlaczego Pegasus może działać na telefonach z android i ios. Dlaczego producenci tego nie załatają. Niby są jakieś inne metody ochrony. Ale problemy rozwiązuje się w miejscach gdzie powstają. A problem leży w systemie. Olbrzymia firma nie może poradzić sobie z tak małą firmą?
Tym bardziej, że to nie jest wirus który jeszcze nigdy nie został użyty i nikt o nim nie słyszał.
0
1
Oprogramowanie zawsze posiada błędy, twórcy Pegasus-a wykorzystują je aby uruchomić "swoje bajery".
Jeżeli nawet ktoś poprawi błąd to droga aby poprawka trafiła do użytkownika jest strasznie kręta.
0
Chcieli by załatać, ale nie mogą bo nie wiadomo gdzie te błędy są, a jakieś są zawsze. System operacyjny to wyjątkowo skomplikowany soft, wyobraź sobie np Boeinga 747 w którym nawet kolor dywanika przy wejściu może wpływać na pracę silników.
1
Ja raczej obstawiam inne scenariusze bardziej racjonalne.
Pierwszy ludzie skupują błędy zero-day za bardzo wysokie kwoty mln dolarów i więcej, potem mogą powiedzieć, że to program pegasus, ale za każdym razem czekają na nowe exploity.
Drugie sieci komórkowa się sprzedała i sprzedaje dane użytkowników, podsłuch na telefon i potem żeby nie wyszło, że sieć komórkowa nie jest bezpieczna dla użytkowników, wymyślili sobie pegasusa.
Trzecie miało po prostu przez pewien czas swoją popularność jakiś exploit, teraz już jest załatany, ale dalej nim straszą dzieci.
0
Wydaje mi się że Pegasus to realny backdoor, a raczej cała ich rodzina. Co nie zmienia faktu że operator komórkowy faktycznie może podsłuchiwać rozmowy swoich użytkowników, bo twórcy sieci komórkowej nie pomyśleli że ktoś może użyć jej w złym celu i zabezpieczeń w zasadzie brak. Nie tylko przed podsłuchem, ale też np sfałszowaniem numeru który pokażę ci się jako dzwoniący / nadawca SMS.
ps ci co skupują zero-day-e (nowe, nieznane producentowi danego softu błędy) zwykle je potem odsprzedają każdemu kogo na to stać. Rząd?, dyktator?, terrorysta?, Policja? Jak masz kasę my mamy sposób na dostanie się do urządzenia i ci go sprzedamy. Nawet FBI kupiło swojego czasu tego typu błąd żeby złapać zboka, producenta oczywiście nie poinformowali (bo i po co? lepiej użyć go do łapanie innych przestępców) więc nie wiadomo czy bug usunięty czy też straszy dalej.
1
Rzeczy typu Pegasus mogą korzystać nawet z ogólnodostępnych, już załatanych luk. A i tak jest spora szansa, że ofiara nie ma tych poprawek, zwłaszcza jeśli to Android. Ciekawsze, skąd mają informacje o lukach, o których nie wie nawet producent. Być może mają swoich ekspertów na etacie, albo skupują informacje gdzieś w darknecieKliknij
0
Najprostsze wytłumaczenie zwykle jest najprawdziwsze.
Jeśli istnieje rynek (kupię lukę chętnie) => pojawia się podaż (luki, luki, kooomu luki?)
do tego jakie to banalnie proste. Własny dekoddek do wyświetlenia grafiki w mms - podesłany razem z wiadomiścią (chyba).... tra ta ta.... się rozpakowuje i uruchomiony robi sobie własny system operacyjny, który kontroluje iphona... przecież taki myk jest nawet zgodny ze specyfikacją.
Kto sprawdza działanie kodu maszynowego w swoich urządzeniach? Luki/backdoory są już na poziomie sprzętu implementowane, więc nie da się z tym walczyć... także firma która zrobi dziurę, coś tam zarobi. Sory - nie dziurę tylko podatność. Nie błąd, ale możliwość
Ale to i tak tylko na osłodę. Bo muszą. Znaczące rządy na świecie się nie zgadzają na niemaniebackdorów. I tyle.
Wystarczy poczytać o firmie Crypto AG ze szwajcarii.
To chyba tam typek poprawił błąd i go wywalili - bo zlikwidował tym samym podatność na odczyt wiadomości...
To nie jest jakaś teoria baśniowa, ani płaska ziemia - tylko najprostsze wytłumaczenie. Apple coś próbowało i nie pozwolono im. A rządy chcą pendriwa wsadzić do urządzenia i wszystko mieć. Albo nawet lepiej - zdalnie. Jak ktoś zna prostsze rozwiązania, dlaczego podatności w systemach nadal istnieją to się sam chętnie dowiem.
0
Nawet jak ci od sieci komórkowej podsłuchują to to nie taki problem. Dane można szyfrować. Albo użyć steganografii. Darmowe programy do tego są. Albo stworzyć własny. Gdybym to ja był twórcą systemu, to bym kupił 1 subskrybcję pegasusa. Przeanalizował kod jak działa i załatał.
0
https://googleprojectzero.blogspot.com/2021/12/a-deep-dive-into-nso-zero-click.html
JBIG2 doesn't have scripting capabilities, but when combined with a vulnerability, it does have the ability to emulate circuits of arbitrary logic gates operating on arbitrary memory. So why not just use that to build your own computer architecture and script that!? That's exactly what this exploit does. Using over 70,000 segment commands defining logical bit operations, they define a small computer architecture with features such as registers and a full 64-bit adder and comparator which they use to search memory and perform arithmetic operations. It's not as fast as Javascript, but it's fundamentally computationally equivalent.
The bootstrapping operations for the sandbox escape exploit are written to run on this logic circuit and the whole thing runs in this weird, emulated environment created out of a single decompression pass through a JBIG2 stream. It's pretty incredible, and at the same time, pretty terrifying.
Gdybym to ja był twórcą systemu, to bym kupił 1 subskrybcję pegasusa. Przeanalizował kod jak działa i załatał.
A skąd wiesz co oni dostają? kod? exe? http api?
a może tak zrobili
0
Myślę też że twórcy systemów sami tworzą te luki. Choć taki google robi projekty opensource jak fuchsia i niektórzy ludzie tworzą własne systemy o nie oparte. Ale jak 10 hobbystów. Robiący własną kopię takiego systemu. Ma załatać 1000 luk stworzonych przez google. Gdybym to ja był twórcą. To na pewno bym tworzył takie luki. Ale tak aby ich nikt nie wykrył i przekalkulował czy się opłaca sprzedawać komuś luki czy na użytek własny. Tak jak w przypadku banków i oszustów. Dla banku nie ma różnicy czy to klient czy oszust. Ważne aby pieniądze się zgadzały. Bo pożyczka naciągnięta przez oszusta niczym się nie różni od normalnego człowieka dla banku. Pieniądz to pieniądz.
0
Bierzesz pod uwagę że dziura w systemie to tez koszt?
0
Jeśli to nie wina twórców systemów to ciekawe kto w dłuższej perspektywie wygra ten "wyścig zbrojeń". Jak na przestrzeni lat zmieniał się próg umiejętności potrzebny do tworzenia wirusów? Ciężej niż kiedyś? Prościej?
0
Jak w końcu przepiszą wszystko na Rusta, to powinno być ciężej ;)
0
Wszystko jest za skomplikowane !
Przepisanie na Rusta nie pomoże bo problem może też być na poziomie hardware którego nie można zmienić po wyprodukowaniu telefonu