Chyba v iOS 13 umožňuje bez autorizace zobrazit všechna uložená hesla

Testování betaverzí systémů má své světlé i stinné stránky. Lákavá je možnost vyzkoušet si všechny novinky ještě před jejich uvedením, ale na druhou stranu se tím testeři a vývojáři vystavují riziku výskytu vážných bezpečnostních chyb. Jinak tomu není ani v případě Applu a jeho nových systémů iOS 13 a iPadOS, u kterých byla objevena chyba, jež umožňuje zobrazit všechna hesla, e-maily a uživatelská jména uložená v zařízení bez nutnosti se autorizovat.

Chyba se týká uživatelů, kteří na iPhonu nebo iPadu využívají funkci Klíčenka. Ta umožňuje schraňovat všechna uložená hesla a následně nabízí funkci automatického vyplňování a přihlašování v aplikacích a na stránkách po ověření uživatele skrze Touch ID, popřípadě Face ID.

Uložená hesla, uživatelská jména a e-maily lze také zobrazit v Nastavení, v sekci Hesla a účty, a to konkrétně po kliknutí na položku Hesla webů a aplikací. Zde se uživateli po příslušné autentizaci vypíše všechen uložený obsah. Nicméně v případě iOS 13 a iPadOS lze ověření prostřednicím Face ID/Touch ID snadno obejít.

Využití chyby přitom není nijak složité, stačí jen po první neúspěšné autorizaci opakovaně klikat na zmíněnou položku a po několika pokusech se obsah kompletně vypíše. Ukázka popsaného postupu je zachcena v níže přiloženém videu od kanálu iDeviceHelp, který chybu objevil. Po prolomení je dispozici jak vyhledávání, tak i zobrazení informace, k jakému webu/službě/aplikaci je dané uživatelské jméno a heslo přiřazeno.

Nutno však podotknout, že chyby lze zneužít pouze za předpokladu, že je zařízení již odemčené. Proto pokud máte nainstalovaný iOS 13 nebo iPadOS a někomu půjčujete svůj iPhone či iPad, nenechávejte zařízení bez dozoru. Ostatně i proto na chybu upozorňujeme – abyste vy, jakožto testeři nových systémů, dbali zvýšené opatrnosti.

S opravou by měl Apple přispěchat v některé z dalších betaverzí. Nicméně jeden z diskutujících na serveru 9to5mac podotýká, že na chybu Apple upozorňoval už při testování první bety a ačkoli se inženýři vyptávali na podrobné informace, tak ji ani po více než měsíci nezvládli opravit.

Na fakt, že betaverze mohou obsahovat chyby, upozorňuje Apple všechny vývojáře i testery, kteří se zapojují do jeho programu pro testování systémů. S možnou bezpečnostní hrozbou tak musí počítat každý, kdo si nainstaluje iOS 13, iPadOS, watchOS 6, tvOS 13 a macOS 10.15. Z toho důvodu Apple důrazně nedoporučuje instalovat systémy za účelem jejich testování na primární zařízení.