ក្រុមអ្នកស្រាវជ្រាវផ្នែកសុវត្ថិភាពបានបង្ហាញពីការវាយប្រហារថ្មីនៅក្នុងកម្មវិធីដែលអាចអនុញ្ញាតឱ្យដំឡើងកម្មវិធីព្យាបាទនៅលើឧបករណ៍ដំណើរការដោយ iOS របស់អ្នកដើម្បីលួចយកព័ត៌មានរសើបពីកម្មវិធីផ្សេងៗដោយប្រើប្រាស់ការអនុវត្តន៍ជាក់លាក់នៃគ្រោងការណ៍ URL ផ្ទាល់ខ្លួន។ តាមលំនាំដើមនៅលើប្រព័ន្ធប្រតិបត្តិការ iOS របស់ Apple រាល់កម្មវិធីដំណើរការនៅខាងក្នុងប្រអប់ខ្សាច់របស់វាដែលរារាំងកម្មវិធីទាំងអស់ដែលបានតំឡើងនៅលើឧបករណ៍តែមួយពីការចូលមើលទិន្នន័យរបស់គ្នាទៅវិញទៅមក។

ទោះយ៉ាងណាក៏ដោយ Apple ផ្តល់នូវវិធីសាស្រ្តមួយចំនួនដែលជួយសម្រួលដល់ការបញ្ជូននិងទទួលទិន្នន័យដែលមានកំណត់រវាងកម្មវិធី។ យន្តការបែបនេះត្រូវបានគេហៅថា URL Scheme ដែលត្រូវបានគេស្គាល់ផងដែរថាជា Deep Linking ដែលអនុញ្ញាតឱ្យអ្នកអភិវឌ្ឍន៍អនុញ្ញាតឱ្យអ្នកប្រើបើកដំណើរការកម្មវិធីរបស់ពួកគេតាមរយៈ URL ដូចជា facetime://, whatsapp://, fb-messenger:// ។ ឧទាហរណ៍ នៅពេលអ្នកចុច “Sign in with Facebook” នៅក្នុងកម្មវិធីអេឡិចត្រូនិច វាបើកដំណើរការកម្មវិធី Facebook ដែលបានដំឡើងនៅលើឧបករណ៍របស់អ្នកហើយដំណើរការផ្ទៀងផ្ទាត់ភាពត្រឹមត្រូវដោយស្វ័យប្រវត្តិ។ នៅផ្ទៃខាងក្រោយ កម្មវិធីអេឡិចត្រូនិកនេះពិតជាកេះកូដ URL សម្រាប់កម្មវិធី Facebook (fb://) ហើយបញ្ជូនព័ត៌មានបរិបទមួយចំនួនដែលត្រូវការដើម្បីដំណើរការការចូលរបស់អ្នក។

ក្រុមអ្នកស្រាវជ្រាវនៅ Trend Micro បានកត់សម្គាល់ឃើញថាដោយសារតែក្រុមហ៊ុន Apple មិនបានកំណត់ច្បាស់លាស់ថាតើកម្មវិធីមួយណាអាចប្រើពាក្យគន្លឹះណាមួយសម្រាប់គ្រោងការណ៍ URL ផ្ទាល់ខ្លួនរបស់ពួកគេ នោះកម្មវិធីជាច្រើននៅលើឧបករណ៍ iOS អាចប្រើតែមួយ URL គ្រោងការណ៍ដែលនៅទីបំផុតអាចបង្កនិងបញ្ជូនទិន្នន័យរសើបទៅកម្មវិធីខុសគ្នាទាំងស្រុងដោយមិនបានរំពឹងទុក ឬព្យាបាទ។ អ្នកស្រាវជ្រាវបាននិយាយថា“ ភាពងាយរងគ្រោះនេះមានសារៈសំខាន់ណាស់ប្រសិនបើដំណើរការចូលកម្មវិធី ក ត្រូវបានផ្សារភ្ជាប់ជាមួយនឹងកម្មវិធី ខ។

ដើម្បីបង្ហាញពីបញ្ហានេះ អ្នកស្រាវជ្រាវបានបង្ហាញពីសេណារីយ៉ូនៃការវាយប្រហារមួយដូចដែលបានបង្ហាញនៅក្នុងរូបភាពខាងក្រោមដោយប្រើឧទាហរណ៍នៃកម្មវិធីលក់រាយរបស់ចិន “Suning” និងការអនុវត្តមុខងារ “Login with WeChat” ដោយពន្យល់ពីរបៀបដែលងាយនឹងលួចចូល។ និយាយឱ្យខ្លី នៅពេលអ្នកប្រើប្រាស់កម្មវិធី Suning ជ្រើសរើសចូលប្រើគណនីពាណិជ្ជកម្មអេឡិចត្រូនិចរបស់ពួកគេដោយប្រើ WeChat វាបង្កើតការស្នើសុំចូល ហើយបញ្ជូនវាទៅកម្មវិធី WeChat ដែលបានតំឡើងនៅលើឧបករណ៍តែមួយដោយប្រើគ្រោងការណ៍ iOS URL សម្រាប់កម្មវិធីផ្ញើសារ។ បន្ទាប់មក កម្មវិធី WeChat ស្នើសុំនិមិត្តសញ្ញាចូលសម្ងាត់ពីម៉ាស៊ីនមេរបស់ខ្លួន ហើយបញ្ជូនវាទៅកម្មវិធី Suning ដើម្បីផ្ទៀងផ្ទាត់។

អ្នកស្រាវជ្រាវបានរកឃើញថាចាប់តាំងពី Suning តែងតែប្រើសំណួរចូលដើម្បីស្នើសុំសញ្ញាសម្ងាត់ហើយ WeChat មិនផ្ទៀងផ្ទាត់ប្រភពនៃការស្នើសុំចូលទេនោះ ការអនុវត្តគឺងាយនឹងការវាយប្រហារពីកម្មវិធីនៅកណ្តាលតាមរយៈប្រព័ន្ធដំណើរការ iOS URL ។ ទីបំផុតអនុញ្ញាតឱ្យអ្នកវាយប្រហារទទួលបានសិទ្ធិចូលប្រើគណនីរបស់អ្នកប្រើប្រាស់ដោយគ្មានការអនុញ្ញាត។ “ ជាមួយនឹងកម្មវិធី WeChat URL ស្របច្បាប់ WeChat ក្លែងក្លាយអាចត្រូវបានបង្កើតឡើងហើយ Suning នឹងសួរក្លែងក្លាយមួយសំរាប់ Login-Token។ ប្រសិនបើកម្មវិធី Suning ផ្ញើសំណួរបន្ទាប់មកកម្មវិធីក្លែងក្លាយអាចចាប់យកគ្រោងការណ៍ Login-Request URL របស់វា។

“WeChatទទួលស្គាល់វា ប៉ុន្តែវានឹងមិនផ្ទៀងផ្ទាត់ភាពត្រឹមត្រូវប្រភពនៃការចូលស្នើសុំទេ។ ផ្ទុយទៅវិញ វានឹងឆ្លើយតបដោយផ្ទាល់ជាមួយ Login-Tokenទៅប្រភពនៃការស្នើសុំ។ ជាអកុសលប្រភពនេះអាចជាកម្មវិធីព្យាបាទដែលកំពុងរំលោភបំពានគ្រោងការណ៍Suning URL។ ” វាមានន័យថា កម្មវិធីព្យាបាទដែលមាន URL ដូចគ្នានឹងកម្មវិធីគោលដៅអាចបញ្ឆោតកម្មវិធីផ្សេងទៀតចូលទៅចែករំលែកទិន្នន័យរសើបរបស់អ្នកប្រើប្រាស់ជាមួយវាឬអាចអនុវត្តសកម្មភាពដែលគ្មានការអនុញ្ញាតដែលអាចបណ្តាលឱ្យបាត់បង់ភាពឯកជន ការបន្លំវិក័យប័ត្រ ឬការប៉ះពាល់នឹងការផ្សព្វផ្សាយពាណិជ្ជកម្ម។

នៅក្នុងការស្រាវជ្រាវរបស់យើង មានកម្មវិធីជាច្រើនដែលប្រព័ន្ធសវនកម្មរបស់យើងត្រូវបានគេរកឃើញថាបានទាញយកអត្ថប្រយោជន៍ពីមុខងារនេះដើម្បីបង្ហាញការផ្សាយពាណិជ្ជកម្មដល់ជនរងគ្រោះ។ កម្មវិធីព្យាបាទដែលមានសក្តានុពលអាចទាមទារយក URL គ្រោងការណ៍ដែលទាក់ទងនឹងកម្មវិធីដ៏ពេញនិយម៖ wechat://, line://, fb://, fb-messenger:// ជាដើម។ យើងបានកំណត់អត្តសញ្ញាណកម្មវិធីព្យាបាទមួយចំនួន។ដោយសារការធ្វើអាជីវកម្មភាពងាយរងគ្រោះនេះពឹងផ្អែកទាំងស្រុងទៅលើវិធីដែលកម្មវិធីគ្រោងការណ៍ URL ត្រូវបានអនុវត្ត អ្នកអភិវឌ្ឍន៍កម្មវិធីនិងវេទិកាពេញនិយមត្រូវបានផ្តល់អនុសាសន៍ឱ្យពិនិត្យមើលកម្មវិធីរបស់ពួកគេឡើងវិញនិងធ្វើឱ្យមានសុពលភាពនូវការជួសជុលសម្រាប់សំណើដែលមិនទុកចិត្ត។