A falha de PDF no navegador e as ROMs de hardware: Por dentro da era inicial dos exploits no iOS

Em julho de 2011, abrir um documento PDF especialmente preparado no Safari móvel em um iPad 2 com o iOS 4.3.3 podia comprometer silenciosamente a segurança fundamental do dispositivo. O exploit permitia acesso root via web, sem a necessidade de um computador desktop ou de uma conexão por cabo. Essa única vulnerabilidade baseada no navegador demonstrou como os motores de renderização em modo de usuário podiam ser explorados para obter privilégios administrativos completos sobre o software do iOS.

O exploit de PDF e a liberdade baseada na web

A ferramenta por trás da vulnerabilidade no Safari era o JailbreakMe 3.0, criado pelo desenvolvedor Nicholas Allegra, conhecido na internet como comex. Allegra já havia lançado a ferramenta de jailbreak Spirit em maio de 2010 e o JailbreakMe 2.0 em agosto de 2010. Com o JailbreakMe 3.0, lançado em julho de 2011, Allegra explorou uma falha de memória no componente de renderização de PDF do Safari móvel para obter direitos elevados de root em dispositivos com iOS 4.3. Segundo o histórico documentado da segurança do iOS, a liberação da ferramenta exigiu uma resposta rápida de órgãos reguladores. Em 15 de julho de 2011, a Apple lançou uma atualização emergencial do iOS para aplicar um patch na falha do PDF, após o Departamento Federal de Segurança da Informação da Alemanha alertar que atacantes mal-intencionados poderiam explorar essa mesma vulnerabilidade para executar códigos não autorizados.

Hacks de baixo nível e vulnerabilidades na Boot ROM

Enquanto Allegra focava no software de aplicação em modo de usuário, o desenvolvedor George Hotz atacava camadas mais profundas de hardware da arquitetura do sistema. Hotz já havia criado utilitários de jailbreak pioneiros, incluindo o purplera1n para o iPhone OS 3.0 e o blackra1n para o iPhone OS 3.1.2. Em outubro de 2010, Hotz lançou o limera1n, um utilitário que aproveitava uma vulnerabilidade no código da boot ROM do dispositivo. Vulnerabilidades de boot ROM residem no hardware inalterável de inicialização, abaixo do sistema operacional principal. Como o código da boot ROM é gravado permanentemente no silício durante a fabricação, a Apple não podia corrigir o limera1n por meio de atualizações de software via OTA (over-the-air). Corrigir exploits de hardware como esse exigia revisões físicas nos chips, como os componentes modificados introduzidos durante revisões posteriores de fabricação em dispositivos como o iPhone 3GS.

O auge dos untethers via desktop

Conforme as mitigações da plataforma se tornavam mais complexas, desenvolvedores independentes voltaram sua atenção para aplicações desktop com múltiplos exploits combinados. Em 4 de fevereiro de 2013, uma ferramenta de jailbreak untethered chamada evasi0n foi lançada para Linux, OS X e Windows, voltada para dispositivos com o iOS 6. O interesse do público no lançamento foi tão intenso que o tráfego inicial massivo provocou erros severos nos servidores de download em todo o mundo. O evasi0n representou o auge dos untethers baseados em desktop, encadeando diversas vulnerabilidades de software em um único pacote automatizado. A Apple acabou fechando essa cadeia de exploits de forma definitiva com o lançamento do iOS 6.1.3, sinalizando o fim dos untethers fáceis em modo de usuário.

Do Rootless aos symlinks: A modernização da segurança da plataforma

Para evitar comprometimentos em todo o sistema, a Apple reformulou a arquitetura do seu sistema operacional central. Em 16 de setembro de 2015, a Apple lançou o iOS 9 com o recurso Rootless, um sistema de segurança projetado para restringir permissões de superusuário e neutralizar técnicas tradicionais de jailbreak. Versões posteriores introduziram o Signed and Sealed System Volume para garantir a integridade dos arquivos do sistema. Consequentemente, os jailbreaks rootless modernos no iOS 15 e versões posteriores não alteram mais o sistema de arquivos root de somente leitura. Em vez disso, as ferramentas operam contornando o Sealed System Volume e direcionando modificações para o diretório /private/preboot/$boot-manifest-hash$/procursus, acessando modificações de terceiros por meio de um symlink localizado em /var/jb.

Embora a segurança móvel moderna dependa de volumes selados e verificações criptográficas, as antigas falhas de navegador e os exploits de boot ROM moldaram permanentemente o design dos sistemas operacionais. A dinâmica de gato e rato entre pesquisadores independentes e engenheiros de plataforma transformou a busca isolada por bugs na base rigorosa do isolamento em sandbox da segurança móvel contemporânea.

Imagem de capa: ilustração gerada por IA; não é uma fotografia documental.

Fonte: IOS jailbreaking