Комментарии 48
Предполагается, что сотрудник будет класть этот планшет на фирменную коробку с запечатанным iPhone, удалённо и без распаковки сможет включить смартфон, обновить до последней версии iOS,
залить троянов,а затем гаджет будет выключен для продажи и выдачи покупателю.
Думаю этот "вайтбокс" реверснут довольно быстро
Смотря как именно оно там работает. Если оно там сигналом пробуждает, а дальше телефон просто сам стягивает прошивку по сети в штатном режиме и выключается - дыркой будет только возможность удаленно включить чужой телефон в радиусе коннекта. А вот если там что-то заливается из аппарата - уже интереснее.
Выглядит плохой идей включать что-то электронное и нагревающееся в закрытрой коробке. Да термодатчики и всё такое, но шанс того что что-то пойдёт не так остаётся...
Это же, в случае неудачного обновления, можно получить кирпич прямо из коробки
Прошлогодняя новость, правда тогда она была вообще без дат
ууууууу эпол опять разводит хомячков на бабки. у меня сименс с 95 винды так и не обновлялся - и ничего, я им и гвозди подпираю и дверь в гараже забить могу!
Потом ты словишь 100500 троянов и сдохнет твой сименс)
При чем тут слово винда?
удалённо и без распаковки сможет включить смартфон
Значит смартфон в упаковке всё-таки не выключенный лежит (в том понимании, какое сейчас применимо к смартам без съёмной батареи).
Т.е. если смартфон пролежит достаточно долго (например не идут продажи модели с таким цветом или конфигурацией) с таким вот "мониторингом спец-сигнала" - то может получиться так, что из коробки батарейка будет уже не та? .... Ну т.е. немного поюзанная...
Она со временем все равно станет "не та". Я не знаю, как это реализовано, яблочные любят нестандартно почудить, но скорее всего там на короткое время пробуждается приемник, а в остальное время он спит, и тут расход батареи думаю одного порядка с саморазрядом.
Значит смартфон в упаковке всё-таки не выключенный лежит
Ну контроллер питания то всегда к батарейке подключен. Он же может и пробудить основной процессор, при поступлении сигнала от катушки беспроводной зарядки, которая тоже к нему подключена.
Конечно не выключенный. Иначе как бы он включился при первом вскрытии?
Выглядит интересным продолжением историй о том, обязан ли американский гражданин разблокировать свой айфон или это защищено нормой "не свидетельствовать против себя".
Теперь вскрыть айфон сможет любой фирменный магазин :)
Интересно, а если положить такую штуку под столом на котором лежит айфон или рядом с карманов в котором лежит айфон, то сработает?
Включить - не равно разблокировать.
А "залить нужный софт на выключенный смартфон, включить и обнаружить его разблокированным" это оно?
Нет.
Залить нужный софт не позволят всякие там подписи прошивки и пр. Сейчас разве можно взять и залить модифицированную прошивку в айфон?
Сейчас разве можно взять и залить модифицированную прошивку в айфон?
"сейчас" может и нет, а "завтра" будет можно.
Там беспроводной интерфейс который позволяет заливать прошивки и к которому можно подключиться так, что пользователь этого не заметит. Будет очень удивительно, если в остальном софте и железе уязвимости есть, а тут не окажется.
Вы не поверите. Айфоны уже много лет как обновляются по воздуху. И это не влияет не безопасность.
Андроиды тоже, насколько я знаю. Но тут не уверен.
Ну, ок, у меня на столе лежит андроид.
Как мне заставить его обновляться, не трогая его?
Нажать пару кнопок в админке же.
Телефон умеет сам себя обновлять. Телефон постоянно соединен со своими серверами. В чем проблема вместо пары нажатий на экран нажать пару кнопок на сервере?
Обычный дизклеймер: Я про обычного пользователя и обычный телефон из соседнего магазина. Мамкины хакеры не интересны.
Есть всё таки некоторая разница между тем, что ВЫ можете нажать на кнопки и обновить, админ у производителя может нажать на кнопки и обновить и тем, что к вам может подойти кто угодно и загрузить Вам обновление.
За запуск неподписанного кода с такими правами на Айфоне вы получите миллион долларов от Эппла. То есть не вообще любой, а любой кто потратил миллион долларов чтобы запустить что-то на вашем телефоне.
Знаете что мне больше всего нравится в таких разговорах (я их веду не первое десятилетие :) )
То что я говорю что-то типа "раз есть техническая возможность, значит может появится и практическая реализация уязвимости".
Мне отвечают что-то типа "покажи как конкретно", "ты не понимаешь", "а там так всё круто сделано".
А потом в базах CVE появляются уязвимости, но мои собеседники делают вид что так и надо, потому что уязвимости они везде могут быть.
Техническая возможность потенциально есть в любой большой сложной системе. Они все нынче одинаковые. Массово не будут пользоваться криптопараноидальной системой без таких фич. Эти системы просто неудобные в использовании.
Есть типичные способы защиты. Миллион долларов за уязвимость задают хороший барьер применимости. Если за вами гоняется правительство, или вы сами в правительстве чего-то покрупнее банановой республики, то вам стоит опасаться такого. Эти риски уже реализовались и они полностью реальны. А вот для всех остальных людей миллион долларов за атаку их телефона равносилен непробиваемой защите.
Наверно, оно сработает, только если он ни разу не был активирован.
Здесь речь идёт о банальной беспроводной зарядке и отправке сервис-кода по BLE. Ранее активированное устройство никак не отреагирует, а новое устройство — выполнит обновление. Информация о начале и окончании процесса обновления доступна этому заряднику из облако, поэтому, когда всё закончится, сотруднику выведут уведомление.
Часто беспроводная зарядка вскрывает ваш телефон? :)
Если часто обновлять, аккумулятор (который был заряжен с завода на ~60%) может разрядиться в процессе обновления, ещё до продажи :)
На само деле очень крутой пример работы над комфортом пользователя. Только -только андроидные системы начали подтягиваться в плане восстановления приложений и окружения на новом устройстве... А переехать с одного windows ПК на другой вечная боль. Не знаю, как там на Ubuntu и иных линуксах делается? Модно как-то быстро все в контейнер запаковать и развернуть на чистой машине?
как там на Ubuntu и иных линуксах
Вариантов очень много. Лично мне нравится nixos.
Зависит... Но в целом ситуация сравнивнима с Windows, если не хуже.
Для начала нужно понять что Linux'ы отличаются достаточно сильно. От дистра к дистру конфиги и бинарные файлы могут лежать в разных местах. У каждого дистра свои репозитории и разные версии пакетов. Стандартизировать тут что-то почти невозможно, потому что Linux это чуть ли не антоним стандартизации.
Далее нужно понять, что Linux это клиент-серверная операционная система, в которой данные юзера рассматриваются как полу-мусор, в отличие от самой системы (что строго обратно тому как данные пользователей превыше всего на юзер-сфокусированных системах вроде IOS и Android). В идеале всё добро юзера должно быть в /home и бекапом и переносом этой папки решается много проблем, но на практике всё не так просто ввиду прошлого пункта (данные лежат черти где порой).
Ну и наконец нужно вспомнить что количество параноиков среди пользователей Linux'а значительно больше чем среди пользователей других OS: где можно трекеры выпиливаются, то же и с облачными аккаунтами и так далее. Поэтому говорить о том чтобы в пару кликов записать, а потом развернуть на новом компьютере список установленных программ не приходится. Ситуация облегчается если юзер пользуется кросс-дистрибутивными системами упаковки приложений, такими как Flatpak и, прости господи, Snap, но всё равно требует немало дополнительных действий.
TL; DR - на очень базовом уровне перенос папки /home решает много проблем, но как только нужно ещё бекапить приложения и их конфиги всё превращается в пляски с конями.
Можно просто скопировать системный диск с линуксом и залить его на новый комп - максимум с драйвером на видяху придётся пошайтанить в терминале, если на старом была от другого лагеря карточка. И ничего не надо переустанавливать.
Я вообще скрипт написал и делаю зашифрованные бэкапы на USB-диски, причем с такого диска можно загрузиться на почти любом компе (как с BIOS, так и с UEFI) и попасть в родную систему и работать в ней полноценно. То есть, получил машинку - и сразу же можно работать. И при этом можно прямо с внешнего диска переписать всё на комп и ребутнуться уже с внутреннего SSD, если машинка планируется стать основной.
Интересно, что еще можно будет в дальнейшем удаленно делать со смартфоном? Есть ли уверенность в том что умельцы не взломают систему Presto и не будут удаленно обновлять содержимое банковских карточек пользователей телефонов от Apple?
Специалисты фирменных магазинов Apple Store с апреля 2024 года смогут обновлять iPhone без вскрытия упаковки