В смартфонах под управлением операционной системы Microsoft Windows Phone обнаружена уязвимость, дающая злоумышленникам потенциальную возможность получения доступа к информации из корпоративных сетей. Об этом сама Microsoft сообщила вчера.
Уязвимость обнаружена в механизме аутентификации беспроводного подключения посредством сетей Wi-Fi, известном под именем PEAP-MS-CHAPv2. Посредством этого механизма устройства получают доступ к сетям Wi-Fi, защищаемых протоколом Wi-Fi Protected Access второй версии. Слабая криптографическая защищённость этого механизма позволяет злоумышленникам получить доступ к данным о домене (логине и пароле пользователя для входа в корпоративную сеть), хранящимся на телефоне, когда он подключается к маскирующейся под настоящую точке доступа, и расшифровать эти данные.
Сообщила об этом Microsoft более года спустя после того, как был найден способ атаки против криптографической схемы MS-CHAPv2. Устройства на Windows Phone могут автоматически пытаться осуществить подключение к «ложным» точка доступа, не запрашивая у них цифрового сертификата, что делает их особо уязвимыми в данном случае.
Microsoft пока не собирается выпускать обновление, исправляющее данную уязвимость. Вместо этого она выпускает советы по включению механизма запроса сертификата у точек доступа перед подключением к ним. Перечисляется перечень шагов по настройке аппаратов и советуется отключить Wi-Fi на устройствах полностью в случае, если им не пользуются.