Din uskyldige lommelygte-app er måske ikke så uskyldig endda

Tænk dig lige scenen: Du downloader en lommelygte-app. Den virker. Alt er fint. Men bag kulisserne har appen åbnet en hemmelig kanal til hackere på den anden side af kloden. De kan se, hvad du laver i din netbank.

Lekker? Det er præcis, hvad forskerne Tamir Shahar og Amit Klein har afsløret i et forskningspaper, der blev accepteret til ACM CCS 2026.

Vi har baseret vores sikkerhed på en fejlantagelse

Sikkerhedseksperter har i årevis fortalt os, at såkaldte off-path angreb var teoretiske. Ideen var, at moderne operativsystemer randomiserer TCP-sekvenstal og DNS-resolver-porte. En fjern angriber kunne ikke gætte de rigtige værdier.

Den antagelse er nu smadret.

Forskerne viste, at en ondsindet app – uden særlige rettigheder, uden root-adgang – kan fungere som bro mellem dit system og fjernangribere. Tænk på det som den digitale version af en betroet medarbejder, der lækker fortrolige oplysninger.

Teknikken er skræmmende enkel

Appen udnytter helt standard socket-API'er, som alle applikationer har adgang til. Ved hjælp af funktioner som bind(), undersøgelse af IP-indstillinger og aflæsning af systemfiler via procfs, kan appen udlede:

• TCP initial-sekvenstal
• DNS-resolverens UDP-kildeporte

Ingen root-rettigheder. Ingen exploits. Bare almindelige systemkald, som du giver tilladelse til, hver gang du installerer en app.

Og det virker på tværs af platforme:

• Linux (inklusiv systemd-resolved)
• Android
• Windows
• macOS
• iOS

Windows, Android og Linux med systemd-resolved er særligt sårbare over for DNS-cache-forgiftning.

Hvad betyder det for dig?

Her er hvad du skal forstå:

Sikkerhed i dybden er ikke længere valgfrit. Hvis du udelukkende stoler på randomiserede sekvenstal, har du bygget et slot på sand.

Applikationssandboxing er afgørende. Operativsystemer eksponerer mere information, end de burde, gennem standard-API'er. Leverandørerne lapper nu hullerne, men spændingen mellem fleksibilitet og sikkerhed er tydelig.

DNSSEC er vigtigt, men utilstrækkeligt. Problemet er, at angrebet forgifter den lokale DNS-cache. DNSSEC validerer Domeener, men når angriberen kontrollerer din lokale cache, omgår du kontrollen fuldstændigt.

Industriens reaktion

Forskerne kontaktede Microsoft, Apple, Google og Linux-kernet-teamet før offentliggørelsen. Flere patches er allerede ude. Det siger noget om alvoren.

Men researchen understreger også en barsk sandhed: angreb udvikler sig hurtigere end forsvar. Jo mere komplekse vores systemer bliver, jo flere uventede angrebsflader dukker op.

Hvad kan du gøre?

1. Opdater alt. Altid. Operativsystemer og applikationer sender ikke kun nye funktioner – de lukker huller.

2. Skift til DoH eller DoT. DNS over HTTPS og DNS over TLS krypterer dine DNS-forespørgsler. Det gør cache-forgiftning markant sværere.

3. Implementer certificate pinning. Selvom en angriber overtager forbindelsen, forhindrer pinning dem i at lykkes.

4. Hold øje med usædvanlig netværksadfærd. Overvågning kan opdage angreb, selv når forebyggende kontroller fejler.

Det store billede

Cybersikkerhed handler ikke kun om externe trusler. Ondsindede eller kompromitterede lokale applikationer udgør en lige så stor risiko.

Samarbejdet mellem tilsyneladende isolerede angrebskomponenter – lokal app plus fjernangriber – repræsenterer en voksende trend. Angribere bliver klogere. Vi er nødt til at tænke ud over traditionelle perimetre.

Det fulde paper ligger på arXiv. Tekniske teams bør gennemgå det for at forstå præcis hvilke API-kald og systemfunktioner, der udnyttes.

Uanset om du driver webshops, bygger apps eller bare har en hjemmeside – denne forskning fortjener din opmærksomhed.

Truslerne udvikler sig. Men det gør vores viden også. Det er den eneste fordel, vi har.