Dvadeset i šest legitimnih prijevara na službenoj trgovini aplikacija vrijedne dvije trilijune dolara

Apple App Store u Kini trenutno je dom za dvadeset i šest aplikacija koje su savršeno legalno postavljene, potpuno funkcionalne i tehnički besprijekorne — osim što su dizajnirane za jednu jedinu stvar: da ti ukradu sve što imaš u crypto novčaniku. Lažni Metamask, lažni Coinbase, lažni Trust Wallet, lažni OneKey. Sve su to aplikacije koje ne samo da izgledaju kao original, nego i rade kao original, sve dok ne uneseš svoju seed frazu ili recovery ključ. U tom trenutku, tvoja imovina prestaje biti tvoja. To nije hakiranje u klasičnom smislu. To je phishing odjeven u odijelo od dvije trilijune dolara, poslužen na srebrnom pladnju s logom jabuke.

Apsurd situacije nije u broju aplikacija ili sofisticiranosti napada. Apsurd je u potpunoj, kristalno čistoj predvidljivosti cijele priče. Čitava industrija mobilne sigurnosti desetljećima gradi zidine, jarake i čuvare s mačevima, a napadač jednostavno dođe do glavne kapije, pozvoni i kaže "dobar dan, ja sam kapija". I kapija se otvori. Jer sustav koji provjerava svaki bajt koda, analizira svaki zahtjev za dozvolama i skenira svaku biblioteku, nema mehanizam koji može detektirati namjeru. Ne možeš algoritmom uhvatiti lopova koji je došao u uniformi dostavljača i s legitimnom narudžbom. Apple-ov review proces je postao car koji je toliko zauzet provjerom kvalitete tkanine svoje nove odjeće da ne primjećuje da mu netko u šetnji gradom skida i donji veš.

Pitanje koje se nameće je jednostavno do bola: ako je cijela prodajna priča tvrtke izgrađena na zatvorenom ekosustavu, željeznom nadzorom nad aplikacijama i bezuvjetnim povjerenjem korisnika, što točno plaćamo? Plaćamo, u slučaju najskupljih uređaja na tržištu, iluziju sigurnosti. Plaćamo mit o utvrđenoj bašti u kojoj su sve zmije prethodno pregledane i odobrene od strane vrtlara. No, što kada je vrtlaru sasvim dobro da neke zmije ubodu, pod uvjetom da one izgledaju dovoljno kao šišmiši ili pitomi puževi? Kina je, u ovom slučaju, samo pozornica. Problem je arhitektonski. Problem je u samoj ideji da se može stvoriti hermetički zatvoren svijet u digitalnom domenu, koji je po definiciji otvoren, fluidan i protok informacija.

Kripto novčanici su samo savršena meta za ovu vrstu zloupotrebe, jer su po svojoj prirodi most između ultra-zaštićenog svijeta aplikacija i potpuno divljeg, neobuzdanog svijeta blockchaina. Jednom kada seed fraza napusti sigurnu okolinu aplikacije — a mora je napustiti da bi bila korisna — ona postaje samo niz riječi koje bilo tko može iskoristiti. Zlonamjerna aplikacija ne mora hakirati ništa. Ona samo čeka da joj ti te riječi uručiš, poput ključa od sefa, a onda pozove svog kolegu s druge strane planete da dođe i pokupi ih. To je prevara koja zahtijeva suradnju žrtve. I upravo to je genijalno, u najcrnjem mogućem smislu te riječi.

Što se tiče Kine, cijela priča dobiva dodatne, mračne tonove. riječ je o tržištu gdje je strani App Store već pod strogim nadzorom, gdje lokalne regulative određuju što smije, a što ne smije biti dostupno. Postavlja se neugodno pitanje: koliko je ovakva infiltracija posljedica nemara, a koliko je posljedica namjernog gledanja u drugom smjeru? su odnosi između Applea i kineskih vlasti složeni ples oko tehnološkog suvereniteta. U takvom okruženju, sigurnosni propusti ponekad nisu samo propusti. Ponekad su cijena poslovanja. Ponekad su pregovaračka poluga. Ili jednostavno prihvatljivi collateral damage u borbi za veće stvari.

Ali fokusiranje isključivo na Kinu je varljivo. To je igranje Apple-ove igre, koja uvijek pokušava lokalizirati problem, okvirirati ga kao incident na određenom geografskom području s određenim izazovima. Istina je da je temeljni nedostatak univerzalan. Ako se dvadeset i šest lažnih aplikacija mogu provući kroz jedan od najstrožih review procesa na svijetu, to znači da je sam proces farsa. Farsa koja košta ogromne količine novca i vremena svih uključenih — osim, očito, onih koji provlače lažne novčanike.

Konačna dijagnoza ovdje je gorka i jednostavna. Pacijent, u ovom slučaju Apple-ov ekosustav, pati od teške kognitivne disonance. S jedne strane, njegov imunološki sustav troši gigavate energije na borbu protiv zlonamjernog softvera, malwarea i eksploita niskog nivoa. S druge strane, njegov središnji živčani sustav — ljudski i algoritamski review — ne može razlikovati između liječnika i ubojice ako su obojica u bijelim mantilima i s otisnutim legitimacijama. Simptomi su sve češći i sve ozbiljniji. Liječenje zahtijeva potpuno redefiniranje što "sigurnost" zapravo znači u kontekstu zatvorenog sustava. A to je operacija koju Apple, u svom trenutnom stanju samozadovoljstva, nije spreman ni razmotriti.

Jer priznati da je zid probijan je prvi korak ka njegovom rušenju. A ogroman, neprobojni zid je, na kraju dana, jedina stvar koju Apple stvarno prodaje. Prodaje osjećaj. Prodaje utvrđenu baštu. Prodaje san da se možeš kretati digitalnim svijetom bez straha. Dvadeset i šest aplikacija u Kini dokazale su da je taj san upravo to — san. I dok se Apple bori da zadrši kontrolu nad narativom, obični korisnici ostaju s gorkom istinom: najsofisticiraniji sustav na svijetu nije vrijedan ništa ako te može prevariti da sam sebe opljačkaš. A cijena te prevare nikada nije bila jasnija.

Budućnost je stigla. Donijela je račun, i na njemu piše seed fraza od dvanaest riječi.

Izvor: bleepingcomputer.com