வீடியோவில் நிரூபிக்கப்பட்ட ஆப்பிள் பாதுகாப்பு குறைபாடு: லாக் செய்த ஐபோனிலிருந்து $10,000 திருடிய யூடியூபர்

ஆப்பிள் நிறுவனம் தனது பயனர்களுக்கு உயர்மட்ட பாதுகாப்பு மற்றும் தனியுரிமை அளிப்பதாக உறுதியளிக்கிறது. இருப்பினும், ஆப்பிளின் 'டேப்-டு-பே' (tap-to-pay) அம்சத்தில் உள்ள ஒரு பாதுகாப்பு குறைபாட்டை யூடியூபர் ஒருவர் தற்போது நிரூபித்துள்ளார். இதன் மூலம் ஒரு நபர், ஐபோனை அன்லாக் செய்யாமலேயே பயனரின் வங்கி கணக்கிலிருந்து பணத்தை எடுக்க முடியும். "மேன் இன் தி மிடில்" (Man in the Middle) ஹேக் என்று அழைக்கப்படும் இந்த குறிப்பிட்ட குறைபாடு, ஐபோனின் NFC தொழில்நுட்பத்தை ஏமாற்றி, அது ஒரு விற்பனை முனையத்திலோ (PoS) அல்லது போக்குவரத்து முனையத்திலோ (transit terminal) பயன்படுத்தப்படுவதாக நம்ப வைக்கிறது. சுமார் ஐந்து ஆண்டுகளுக்கு முன்பு கண்டறியப்பட்டதாகக் கூறப்படும் இந்தச் சிக்கலை எவ்வாறு பயன்படுத்திக் கொள்ள முடியும் என்பதை விளக்க, அந்த யூடியூபர் இரண்டு சைபர் பாதுகாப்பு நிபுணர்களுடன் இணைந்து செயல்பட்டார்.

பூட்டப்பட்ட ஐபோனிலிருந்து பணம் எடுக்கப் பயன்படும் ஆப்பிளின் 'எக்ஸ்பிரஸ் டிரான்சிட் மோட்'

'வெரிடாசியம்' (Veritasium) என்ற யூடியூப் சேனலில் வெளியான புதிய வீடியோவில், ஹென்றி வான் டைக் என்பவர் 2021-ல் கண்டறியப்பட்டதாகக் கூறப்படும் ஒரு பாதுகாப்பு குறைபாட்டைப் பயன்படுத்தி, பூட்டப்பட்ட ஐபோனிலிருந்து பணத்தை எவ்வாறு திருடலாம் என்பதை நிரூபித்துள்ளார். இதனைச் செய்து காட்ட, அவர் பிரபல தொழில்நுட்ப யூடியூபர் மார்க்வெஸ் பிரவுன்லீயின் (MKBHD) பூட்டப்பட்ட ஐபோனிலிருந்து ஒரு பணப் பரிமாற்றத்தை மேற்கொண்டார். வீடியோவின் தொடக்கத்தில், அவர் அந்த ஐபோனை "ப்ராக்ஸ்மார்க்" (Proxmark) எனப்படும் மூன்றாம் தரப்பு NFC ரீடர் கருவியின் மீது வைக்கிறார், அது ஒரு லேப்டாப்புடன் இணைக்கப்பட்டுள்ளது.

ஐபோன் அந்த கருவியின் மீது வைக்கப்பட்டபோது, அது பரிமாற்றத் தகவல்களை ப்ராக்ஸ்மார்க்குடன் பகிர்ந்துகொண்டது, அந்தத் தகவல்கள் லேப்டாப்பிற்கு அனுப்பப்பட்டன. பின்னர், ஒரு 'பைதான்' (Python) ஸ்கிரிப்டைப் பயன்படுத்தி அந்தத் தகவல்கள் லேப்டாப்பில் மாற்றியமைக்கப்பட்டன. லேப்டாப் அந்த மாற்றப்பட்ட தரவை மற்றொரு மொபைலுக்கு அனுப்புகிறது. இந்த இரண்டாவது மொபைலை ஒரு PoS கருவியின் மீது வைக்கும்போது, அந்த PoS கருவியும் அசல் ஐபோனும் நேரடியாகத் தொடர்பு கொள்வதாக ஏமாற்றப்படுகின்றன. இதன் விளைவாக, போனில் இருந்து பணம் வெற்றிகரமாக மாற்றப்படுகிறது.

பிரவுன்லீயின் ஐபோன் 17 ப்ரோ-வைத் தொடாமலோ அல்லது அன்லாக் செய்யாமலோ, அந்த யூடியூபரால் $10,000 (சுமார் ரூ. 9,33,000) திருட முடிந்தது. சைபர் பாதுகாப்பு நிபுணர்கள் மற்றும் பல்கலைக்கழக பேராசிரியர்களான அயோனா பூரேனு மற்றும் டாம் சோதியா ஆகியோருடன் அந்தச் சேனல் இணைந்து பணியாற்றியது. ஆப்பிளின் 'எக்ஸ்பிரஸ் டிரான்சிட் மோட்' (Express Transit Mode)-ல் உள்ள தெரிந்த குறைபாடே இதற்குக் காரணம் என்று அவர்கள் விளக்கினர். இந்த அம்சம், பயனர்கள் தங்கள் ஸ்மார்ட்போன்களை அன்லாக் செய்யாமலேயே பேருந்துகள் மற்றும் சுரங்க ரயில் நிலையங்களில் பணம் செலுத்த அனுமதிக்கிறது.

இந்தக் குறைபாட்டைப் பயன்படுத்தி ஒருவரின் கணக்கிலிருந்து எவ்வளவு பணம் வேண்டுமானாலும் திருடப்படலாம் என்று அவர்கள் எச்சரித்தனர். இது குறித்துப் பேராசிரியர்கள் விளக்குகையில், ஒரு ஐபோன் போக்குவரத்து முனையத்தில் வைக்கப்படும்போது, அது பரிமாற்றத்தை உறுதிப்படுத்த ஆப்பிளின் 'டேப்-டு-பே' செயல்பாட்டுடன் ஒரு குறியீட்டை (code) பரிமாறிக்கொள்கிறது. ஆனால், இந்த ஹேக்கிங் முறை விசா (Visa) டிரான்சிட் கார்டுகளில் மட்டுமே சாத்தியம், ஏனெனில் அந்த நிறுவனம் பயன்படுத்தும் சரிபார்ப்பு முறையே இதற்கு வாய்ப்பளிக்கிறது.

ப்ராக்ஸ்மார்க் போன்ற சாதனங்களைப் பயன்படுத்தி இந்த குறியீட்டை அணுகி மற்றொரு சாதனத்திற்கு அனுப்ப முடியும் என்பதை வீடியோ காட்டுகிறது. ஐபோன் பதிலுக்கு ஒரு தனித்துவமான குறியீட்டை எதிர்பார்க்கிறது. ஒரு சாதாரண PoS கருவி பொதுவாக "0" என்ற மதிப்பையே அளிக்கும். ஆனால் ஹேக்கர்கள் இந்தத் தகவலை இடைமறித்து, அதன் மதிப்பை மாற்றி, அது ஒரு அங்கீகரிக்கப்பட்ட போக்குவரத்து முனையத்துடன் தொடர்புகொள்வதாக ஐபோனை நம்ப வைக்கின்றனர்.இதேபோல், இந்த பைனரி குறியீட்டை மாற்றி, பணப் பரிமாற்றம் மிகக் குறைந்த மதிப்புடையது என்று ஐபோனை நம்ப வைக்க முடியும். இதன் மூலம் முகம் அல்லது கைரேகை அங்கீகாரம் (biometrics) தேவையில்லாமல் போகிறது. மற்றொரு புறம், பயனர் பயோமெட்ரிக் அனுமதி அளித்துவிட்டதாக PoS கருவியை ஏமாற்றவும் குறியீடு மாற்றப்படுகிறது.

ஆப்பிள் நிறுவனம், PoS கருவிகள் மற்றும் ஐபோன்களுக்கு இடையே பயன்படுத்தப்படும் டிரான்சிட் 'மேஜிக் பைட்டுகள்' (magic bytes) மற்றும் EMV ஃபிளாக்ஸ்களை வேண்டுமென்றே என்க்ரிப்ட் செய்யாமல் விட்டுவிட்டதாக யூடியூபர் கூறுகிறார். இது குறித்து ஆப்பிள் நிறுவனத்தைத் தொடர்புகொண்டபோது, "இது விசா (Visa) அமைப்பில் உள்ள ஒரு கவலைக்குரிய விஷயம்" என்று பதிலளித்தது. மேலும், இத்தகைய மோசடி "நிஜ உலகில்" நடக்கும் என்று விசா நிறுவனம் "நம்பவில்லை" என்றும், வாடிக்கையாளர்கள் விசாவின் 'ஜீரோ லெபிலிட்டி' கொள்கையின் கீழ் பாதுகாக்கப்படுகிறார்கள் என்றும் ஆப்பிள் தெரிவித்தது.