Pegasus Cię zhackuje, nawet jeśli nie klikniesz w żadnego linka

Tą zabaweczką przekierują Ci niezaszyfrowany ruch ze smartfona na swój serwer, który wstrzyknie skrypt atakujący i odeśle Cię na tę stronę, na którą chciałeś wejść. Nawet się nie zorientujesz. (Tak, pomimo powszechności HTTPS wciąż HTTP jest w użyciu)

[g.....4]

proste rozwiązanie - nie używaj przeglądarki w telefonie którego używasz do komunikacji z innymi przestępcami ;)

[Garet_]

@gundis24: tu nie chodzi o sama przeglądarkę tylko o żądania http, które są wysyłane bez szyfrowania. W taki sam sposób można się nadziać używając aplikacji, której producent poskąpił na „szyfrowanie” a ta odpytuje jego serwery po jakieś dane. Analogicznie ze skrzynka mejlowa - wystarczy ze klient pocztowy ładuje obrazki po otwarciu wiadomości - obrazek pobrany przez http zamiast https i cyk - nadziewasz się na atak network injection.

[Bonetti]

@komw: wystarczy jedna która tego nie używa i jest problem

[FrankTheTank]

@drzuo: To nie jest Pegasus ( ͡° ͜ʖ ͡°)

[dave8]

@drzuo: @FrankTheTank:

[komw]

@niebezpiecznik-pl dlaczego nie wspomnieliscie o hsts? Przecież w większości omyłkowych wejść na http właśnie eliminuje tego typu przypadki o których pisaliście i praktycznie większość stron (tych poważniejszych) go implementuje, przez co niezbyt prawdziwie wygląda opisana wasza historia...

[srame9]

@frank_b: logi

[niebezpiecznik-pl]

@komw: bo hsts na nowej domenie jest ustawione po http, czyli połączeniu które może użyć Pegasus, a "nowych" domen jest "nieskończenie" wiele.

[FightMaker]

Mój trzeci smartfon którego używam to Lumia z Windows Phone, a jak powszechnie wiadomo, na tym systemie nic nie działa - nawet Pegasus. Szach mat! ( ͡° ͜ʖ ͡°)

[Bot127]

Pracowałem kiedyś w firmie co to robiła SDK na mobilki uzywane potem przez duże firmy z produktem za grube pieniądze. Jako specjalista od zabezpieczeń co jakiś czas podnosiłem problem prawidłowej implementacji SSLa - z jakiegoś powodu decyzje sięgały, aż szefa działu gdzieś tam w innych landach tysiące kilometrów od nas, który mówił jasne NIE. Bo dla klientów to problem, bo czasami to nie będzie działać - Uwaga np. w sieciach korporacyjnych to

[d.....b]

@Bot127: no facet miał rację. Większość korpo robi MITM. Bez tego admin byłby "ślepy" Jak chcesz mieć szyfrowanie to postaw sobie VPN'a.

[jimw]

@Bot127: Trochę nie rozumiem, o czym piszesz - co ma prawidłowa implementacja SSLa do korpo MITM. Korpo MITM działa zwykle tak, że na sprzęcie od korpo masz dodany jakiś root cert korpo, jako cert zaufany i cały ruch idący przez proxy korpo jest podpisywany tym certem (lub innymi certami podpisanymi przez ten root cert). Tutaj problemem jest więc root of trust.

Chętnie zrozumiałbym dokładniej, co miałeś na myśli z tą

[S.....a]

Będę szczelał w telewizor do kaczek i nie dam się shakować!

[M.....r]

@SaveznaRepublikaJugoslavija: ale tylko jeśli masz telewizor kineskopowy ( ͡º ͜ʖ͡º)

[SweetDreams]

Mam BlackBery Classic - mogą mnie cmoknąć ( ͡° ͜ʖ ͡°)

[PieknyWojciech]

@Gleba_kurfa_Rutkowski_Patrol: to podeślij ten fragment

[Anomalocaracid]

@orle To nie ochroni

[Anomalocaracid]

@RapRose: bo wchodzi bezpośrednio na twój telefon,żeby zainstalować się pegasus potrzebuje nawet zwykłego połączenia nieodebranego.są też sposoby ktore nie są znane publicznie.

[zigibombes]

Szkoda że Tizen na mobile się nie rozpowszechnił. Sądzą, że byłoby bardziej bezpieczniej. W końcu to niszowy system.

[cacum3]

@Bot127: Panie a gdzie ta lista? Poratuj linkiem

[Bot127]

@zigibombes: lista nie jest aktualna na dziś, ale też i może być tak, że nie jest złamany - takie firmy łamią telefony, które są mocno popularne w pierwszej kolejności. Paradoksalnie może to być plus dla mniej popularnych platform.

[kocurrek32]

Nie pisze się w żadnego linka tylko w żaden link ale dobra język polski trudny ;)