Questa vulnerabilità non viene sfruttata nel mondo reale. Non è qualcosa di cui dovresti essere particolarmente preoccupato, ma è un promemoria che nessuna piattaforma è completamente sicura.
Cos'è un profilo di configurazione?
I profili di configurazione sono creati con l'Utility di configurazione iPhone di Apple. Sono destinati ai dipartimenti IT e ai carrier cellulari. Questi file hanno l'estensione del file.mobileconfig e sono essenzialmente un modo semplice di distribuire le impostazioni di rete sui dispositivi iOS.
Ad esempio, un profilo di configurazione può contenere impostazioni di restrizione del codice di accesso Wi-Fi, VPN, e-mail, calendario e persino. Un reparto IT può distribuire il profilo di configurazione ai propri dipendenti, consentendo loro di configurare rapidamente il proprio dispositivo per connettersi alla rete aziendale e ad altri servizi. Un gestore di telefonia mobile potrebbe distribuire un file di profilo di configurazione contenente le impostazioni del suo nome del punto di accesso (APN), consentendo agli utenti di configurare facilmente le impostazioni dei dati cellulari sul proprio dispositivo senza dover inserire manualmente tutte le informazioni.
Fin qui tutto bene. Tuttavia, una persona malintenzionata potrebbe teoricamente creare i propri file di profilo di configurazione e distribuirli. Il profilo può configurare il dispositivo in modo che utilizzi un proxy o VPN dannoso, consentendo in effetti all'utente malintenzionato di monitorare tutto ciò che passa attraverso la rete e reindirizzare il dispositivo su siti Web di phishing o pagine dannose.
I profili di configurazione potrebbero anche essere utilizzati per installare i certificati. Se è stato installato un certificato dannoso, l'autore dell'attacco potrebbe impersonare in modo efficace siti Web sicuri come le banche.
Come installare i profili di configurazione
I profili di configurazione possono essere distribuiti in diversi modi. I modi più preoccupanti sono come allegati e-mail e come file su pagine web. Un utente malintenzionato potrebbe creare un'email di phishing (probabilmente un'e-mail di spear-phishing mirata) incoraggiando i dipendenti di un'azienda a installare un profilo di configurazione dannoso collegato all'email. Oppure, un utente malintenzionato potrebbe configurare un sito di phishing che tenta di scaricare un file del profilo di configurazione.
Gestione dei profili di configurazione installati
Puoi vedere se hai installato i profili di configurazione aprendo l'app Impostazioni sul tuo iPhone, iPad o iPod Touch e toccando la categoria Generale. Cerca l'opzione Profilo nella parte inferiore dell'elenco. Se non lo vedi nel pannello Generale, non hai alcun profilo di configurazione installato.
Questa è più una vulnerabilità teorica, poiché non siamo a conoscenza di nessuno che la sfrutti attivamente. Tuttavia, dimostra che nessun dispositivo è completamente sicuro. Devi fare attenzione quando scarichi e installi elementi potenzialmente dannosi, che si tratti di programmi eseguibili su Windows o profili di configurazione su iOS.