iOS Güvenlik Mimarisi ve Yaygın Riskler

iOS, Android'den FARKLI bir felsefeyle tasarlanmış: Apple'ın SIKI kontrol ettiği, "kapalı bahçe" (walled garden) bir ekosistem. Bu makale, iOS'un güvenlik MİMARİSİNİ ve bu KAPALI yapının GETİRDİĞİ hem avantajları hem de RİSKLERİ ele alıyor.

Güvenli Önyükleme Zinciri (Secure Boot Chain)

iOS cihazları, AÇILIŞTAN itibaren HER aşamanın (donanım seviyesindeki ROM'dan işletim sistemine kadar) KRİPTOGRAFİK olarak DOĞRULANDIĞI bir zincir kullanır — Kriptografi kütüphanemizdeki dijital İMZA kavramının, DONANIM seviyesindeki UYGULAMASI. Bu, cihaza SIZAN bir zararlı yazılımın, İŞLETİM SİSTEMİNİN kendisini KALICI olarak DEĞİŞTİRMESİNİ ÇOK ZORLAŞTIRIR.

App Store İncelemesi: Merkezi Bir Kontrol Noktası

Android'in AKSİNE, iOS uygulamaları SADECE App Store ÜZERİNDEN (normal şartlarda) yüklenebilir ve Apple, HER uygulamayı YAYINLANMADAN ÖNCE İNCELER. Bu, Web Güvenliği kütüphanemizdeki "güvenlik yanlış yapılandırması" makalemizdeki BAZI riskleri AZALTIR ama TAMAMEN ORTADAN KALDIRMAZ — kötü amaçlı davranışlar, İNCELEME SÜRECİNDEN GEÇtikten SONRA, sunucu tarafında YAPILAN bir DEĞİŞİKLİKLE de eklenebilir.

Sandbox ve İzinler

iOS'un sandbox mimarisi, Android'e BENZER bir mantıkla ÇALIŞIR — HER uygulama İZOLE bir ortamda çalışır, hassas VERİLERE (konum, kamera, fotoğraflar) erişim İÇİN kullanıcı ONAYI GEREKİR.

Yaygın Riskler (Kapalı Sistem Olsa Da)

1. Jailbreak Riski

Kullanıcılar, Apple'ın KISITLAMALARINI aşmak için cihazlarını "jailbreak" edebilir — bu, Android'deki root İŞLEMİNE BENZER, ve AYNI şekilde, cihazın GÜVENLİK MODELİNİ TEMELDEN ZAYIFLATIR. Jailbreak edilmiş bir cihazda, App Store DIŞI kaynaklardan yüklenen uygulamalar, sandbox İZOLASYONUNU AŞABİLİR.

2. Phishing ve Sosyal Mühendislik

iOS'un TEKNİK güvenliği GÜÇLÜ olsa da, CEH rehberimizdeki sosyal mühendislik TEKNİKLERİ platform BAĞIMSIZDIR — bir kullanıcıyı SAHTE bir "Apple ID doğrulama" e-postasıyla KANDIRMAK, iOS'un HİÇBİR teknik korumasını GEREKTİRMEZ.

3. Konfigürasyon Profilleri Kötüye Kullanımı

iOS, KURUMSAL ortamlarda cihaz YÖNETİMİ için "konfigürasyon profilleri" kullanır. Kötü amaçlı bir profil, kullanıcıyı KANDIRARAK YÜKLETİLİRSE, saldırganın trafiği YÖNLENDİRMESİNE veya EK KISITLAMALAR uygulamasına İZİN VEREBİLİR.

4. Üçüncü Parti SDK Riskleri

Malware Analizi kütüphanemizdeki tedarik zinciri riski kavramı, mobilde de GEÇERLİ — bir uygulama, GÜVENSİZ bir REKLAM SDK'sı veya ANALİTİK kütüphanesi KULLANIYORSA, Apple'ın İNCELEMESİNDEN GEÇSE bile, o SDK'nın İÇİNDEKİ bir zafiyet, TÜM kullanıcı verisini RİSKE ATABİLİR.

Kapalı Sistem = Kusursuz Değil

iOS'un mimarisi GENEL olarak GÜÇLÜ kabul edilse de, "kapalı sistem güvenlidir" varsayımı Web Güvenliği kütüphanemizdeki "gizlilikle güvenlik sağlama" (security through obscurity) YANILGISINA DÜŞMEMELİ — NSO Group'un Pegasus yazılımı gibi GELİŞMİŞ tehdit aktörleri, iOS'ta bile SIFIRINCI GÜN zafiyetleri BULUP İSTİSMAR EDEBİLİYOR.

Bu makale, SiberCrew ekibi tarafından hazırlanmış özgün içeriktir.