Tienjarige hacker ontdekt exploits in Android- en iOS-games

[Cloud]

Over: nieuws: Tienjarige hacker ontdekt exploits in Android- en iOS-games.

Ik vind het een prima en tevens ook duidelijk artikel. Helaas lijken veel gebruikers alleen over de volgende (mijns inziens cruciale) passage heen te lezen:

[...]

Hierdoor kan een aanvaller in theorie eigen code draaien.

[...]

Dit zorgt voor nogal wat reacties in de trend van 'Sorry hoor, maar dat doe ik al een jaar op mijn android telefoon', of 'Precies. Kom op zeg dit is geen hacken...', etc. etc. Ze gaan compleet voorbij aan het feit dat deze hack heel wat meer in lijkt te houden dan knoeien met een (op echte tijd gebaseerd) spelletje. Wat dat op zich, stelt natuurlijk geen klap voor.

Geen idee hoe je dit zou kunnen verduidelijken en misschien vinden jullie het wel onnodig, maar wilde dit toch even delen.

[SinergyX]

In de bron staat enkel:

Details about what this bug opens up have not been revealed but such flaws are often used to let an attacker run their own code and get access to useful or saleable data.

Dus niets in theorie, ze weten niet wat je er mee kan doen, maar zo'n 'flaw' wordt veelal gebruikt om eigen code te kunnen draaien.

[itsme]

In het hele artikel kan ik niet opmaken hoe dit eigen code uitvoeren moet opleveren.
Op welke manier zou er eigen code in een iphone game aangeboden moeten worden? Zonder jailbreak kom je helemaal niet aan het filesystem.

Zoals ik het lees gaat het hier echt om cheaten in een game door een 10 jarige.

Uit het BBC artikel:

Details about what this bug opens up have not been revealed but such flaws are often used to let an attacker run their own code and get access to useful or saleable data.

Dus ze kan niets uitvoeren.

@Hierboven, nee op die code te kunnen starten, het opnemen van die code kan niet met deze methode imo.

[ Voor 8% gewijzigd door itsme op 08-08-2011 15:54 ]

[Cloud]

Klopt, maar als het enkel en alleen om een manier ging om in het spel de Smurfen te cheaten, betwijfel ik of die meid wel op Defcon zou staan. Verder staat er in de bron ook nog eens, dat haar bevindingen bevestigd zijn door andere onderzoekers op het gebied van veiligheid. Hoe dan ook lijkt er mij dus meer aan de hand dan wat het gros van de reagerende gebruikers nu denkt. Ondanks de details van wat er daadwerkelijk kan gebeuren, nog niet vrijgegeven zijn.

itsme schreef op maandag 08 augustus 2011 @ 15:53:
Uit het BBC artikel:

[...]

Dus ze kan niets uitvoeren.

Dat is niet wat ik in die passage lees anders. Ik lees daar dat nog niet vrijgegeven is, wat er met die loophole gedaan kan worden. Niet dat er überhaupt niets mogelijk is met die loophole.

En serieus, zeg nu zelf. Als het alleen om cheaten in een spelletje ging, wat moet Defcon dan met de presentatie ervan? Defcon wordt wel steeds populairder en meer mainstream, maar ik betwijfel of ze zó ver afgegleden zijn.

[ Voor 39% gewijzigd door Cloud op 08-08-2011 15:56 ]

[itsme]

Met 10 jaar op t idee komen om te cheaten in een game door de tijd van de iphone aan te passen en daarbij wifi uit te schakelen zodat automatisch ophalen van de tijd niet werkt. Best knap en noemenswaardig. Ik denk dat de BBC dit nieuws wat makkelijk heeft opgepakt niet dat het hier om een echte exploit gaat.

[Cloud]

Nu ik het artikel van de BBC eens beter lees en met name het artikel van CNET waar de BBC zich op baseert, zie ik dat het gewoon een flinke faal lijkt te zijn van de BBC.

Wat de BBC impliceert (code execution) wordt nergens gestaafd in het originele interview met CNET.. Daar gaat inderdaad letterlijk om cheaten in een spelletje waarvan de makers dachten dat het onmogelijk was. Nergens wordt gesproken over de mogelijkheid om code uit te voeren.

Nice... Misschien iets voor de redactie om nog verder uit te pluizen?

[ Voor 9% gewijzigd door Cloud op 08-08-2011 16:07 ]

[SinergyX]

Cloud schreef op maandag 08 augustus 2011 @ 15:54:
En serieus, zeg nu zelf. Als het alleen om cheaten in een spelletje ging, wat moet Defcon dan met de presentatie ervan? Defcon wordt wel steeds populairder en meer mainstream, maar ik betwijfel of ze zó ver afgegleden zijn.

Dit is Defcon Kids, daar gaat met nog heel 'vriendelijker' om met de gevonden exploits en bugs.

Daarnaast lijkt het ook de opdracht te zijn geweest, CNET:

told CNET that at the end of CyFi's presentation at DefCon Kids they would offer a $100 reward to the young hacker who found the most games with this exploit over the following 24 hours.

[Cloud]

Dat is nu wel logisch ja. Alleen doet het artikel van de BBC (en ook die van T.net) nu denken dat er meer mogelijk is dan alleen cheaten in een spelletje, terwijl dat nergens uit blijkt in het originele interview van CNET. Daar heb ik alleen nog vraagtekens bij.

edit:

@hieronder: stuk beter nu

[ Voor 7% gewijzigd door Cloud op 08-08-2011 16:37 ]

[Dimitri R]

Ik heb wat nuance aan het artikel toegevoegd, de conclusie van BBC ging inderdaad wat ver. Infosecurity beschrijft de exploit beter: http://www.infosecurity-m...one-gaming-security-flaw/