iOS sandboxing yang bikin app gak bisa curi data tapi 3 app ini masih bisa loophole

admin50 menit ago

3 8 minutes read

Fakta mengejutkan: studi menunjukan hingga 12% serangan pada perangkat mobile memanfaatkan jalur pemrosesan konten, bukan bug langsung pada app.

Model keamanan ini memisah process dan membatasi akses tiap aplikasi. Apple menggabungkan profile SBPL, sandbox.kext, entitlements, dan ASLR untuk menjaga security perangkat.

Semua app App Store mendapat profile dasar seperti container.sb, sementara system memakai platform.sb sebagai baseline. Perbedaan hak akses muncul dari entitlements yang disetujui Apple.

Komponen seperti com.apple.WebKit.WebContent.sb menunjukkan betapa detail aturan mengatur IPC, syscall, dan JIT entitlement. Itulah kenapa beberapa jalur serangan masih bisa memanfaatkan layanan kompleks yang memproses konten otomatis.

Di artikel ini, Anda akan paham desain sandbox, contoh tiga jalur yang sering diserang, dan langkah praktis untuk menurunkan risiko pada device dan user sehari-hari.

Mengapa topik ini penting dan apa yang akan Anda pelajari

Layanan yang memproses pesan dan media secara otomatis sering jadi target serangan canggih.

Zero-click attacks menargetkan layanan yang memproses konten tanpa interaksi. Contoh nyata termasuk layanan pesan dan kontrol rumah pintar. Kerentanan di parser memungkinkan penyerang mengeksploitasi data yang masuk.

Apple merespon dengan security measures berlapis seperti BlastDoor, ASLR, dan PAC. Lockdown Mode juga dirilis untuk mengurangi permukaan serang. Namun, tidak ada sistem yang sempurna; pelanggaran tetap mungkin terjadi di layanan atau protokol yang belum sepenuhnya terlindungi.

Kenapa penting: layanan otomatis bisa jadi pintu masuk bagi attacks terhadap users dan device.
Anda akan belajar: gambaran model apple security dan security measures pada operating system modern.
Izin dan batasan: penjelasan sederhana tentang permissions, entitlements, dan dampaknya pada app.
Hasil akhir: cara mengenali risiko, mitigasi cepat, dan langkah pencegahan sehari-hari.

Komponen	Peran	Risiko jika gagal
BlastDoor	Memfilter pesan berbahaya	Eksekusi kode lewat parser
ASLR & PAC	Mengacak alamat memori	Ekploitasi memory corruption
Lockdown Mode	Kurangi fitur berisiko	Pengurangan fungsi untuk users berisiko

Dasar sandboxing iOS: hak akses, entitlements, dan ASLR

Model keamanan pada perangkat Apple memadukan batasan process dan izin untuk melindungi data runtime.

Apa itu sandbox, peran entitlements, dan bagaimana ASLR bekerja

Sandbox adalah lingkungan terisolasi yang membatasi process agar hanya operasi yang diizinkan oleh profile dan entitlements yang berjalan. Profile ditulis dalam SBPL dan disematkan di sandbox.kext. Kernel memakai aturan ini untuk memutuskan allow atau deny saat proses diluncurkan.

Entitlements berperan sebagai kunci izin. Tanpa entitlements yang ditandatangani oleh Apple, proses tidak bisa mengakses fungsi sensitif atau data tertentu. Itu menjelaskan perbedaan kemampuan antara app biasa dan system processes.

ASLR mengacak tata letak memory sehingga serangan yang mengandalkan alamat tetap menjadi jauh lebih sulit. Gabungan aturan profile, entitlements, dan ASLR memberi fondasi apple security yang menjaga operating system dari eksploitasi sederhana.

profiles di kernel menetapkan izin file, IPC, dan syscall.
Platform.sb memberi baseline untuk system processes; container.sb membatasi app App Store dengan prinsip least privilege.
Desain fokus bukan hanya memblokir, tapi menjaga fitur tetap berjalan di dalam pagar ketat.

Komponen	Fungsi	Efek jika gagal
sandbox.kext (SBPL)	Menerapkan aturan allow/deny untuk proses	Proses dapat mengakses resource yang semestinya dibatasi
Entitlements	Menentukan operasi sensitif yang diizinkan untuk app/process	Akses ke data atau API kritis tanpa otorisasi
ASLR	Mengacak layout memory untuk menghalangi exploit berbasis alamat	Serangan memory corruption menjadi lebih mudah
platform.sb	Baseline izin untuk system processes	Peningkatan hak akses bagi layanan inti jika rusak
container.sb	Pembatasan untuk app App Store (least privilege)	App pihak ketiga bisa mempengaruhi data yang bukan miliknya

Mengenal Sandbox Profiles di iOS: SBPL, container.sb, dan platform.sb

Profile SBPL disusun sebagai aturan berurutan; aturan terakhir yang cocok menentukan keputusan. Model ini menerapkan deny-by-default dan hanya mengizinkan pengecualian yang eksplisit.

Secara praktis, ada dua profil dasar: container.sb untuk semua app App Store dan platform.sb sebagai baseline untuk seluruh processes. Profil khusus menambah pengecualian untuk layanan tertentu.

Struktur aturan dan prioritas

SBPL membaca aturan satu per satu; hasil akhir diputuskan oleh aturan terakhir yang cocok.
Model deny dulu memberi control terbaik terhadap operasi berisiko.
Operations yang diatur mencakup IPC (mach-lookup), syscall, dan akses file.

Jenis profil umum

Nama	Peran	Catatan
container.sb	Membatasi app pihak ketiga	Least privilege untuk apps
platform.sb	Baseline untuk system processes	Melindungi integritas sistem
com.apple.WebKit.WebContent.sb	Aturan untuk WebKit	Filter IPC dan JIT

Dalam praktik, akses diatur lebih jauh oleh filter (mis. nama Mach service, jalur file) dan oleh entitlements yang memberi permissions. Memahami profiles membantu memetakan siapa dapat access apa dan area mana yang perlu diperketat.

Contoh nyata: membedah profil com.apple.WebKit.WebContent.sb (iOS 16.5)

Analisis contoh WebContent memperlihatkan kombinasi aturan yang ketat untuk membatasi layanan dan syscall pada proses yang memproses konten web. Profil ini menyeimbangkan keamanan dan performa dengan menetapkan daftar izin yang sangat spesifik.

Kontrol IPC dan mach-lookup

Aturan mach-lookup memakai kombinasi require-all dan require-any. Ada require-not untuk memblokir services sensitif seperti com.apple.webkit.camera.

Daftar yang diizinkan meliputi com.apple.mobileassetd.v2, com.apple.iconservices, com.apple.webinspector, tccd, dan logd.
Beberapa services seperti containermanagerd dan analyticsd secara eksplisit disaring untuk mencegah penyalahgunaan.
Nama global dan xpc-service-name menulis access specific ke tiap service sehingga IPC tetap terkontrol.

Pembatasan syscall dan rutinitas MIG

Operasi syscall-unix dibatasi ke nomor tertentu. Hanya subset operasi yang benar-benar dibutuhkan yang dipakai.

Syscall-mig dan kernel-mig-routine juga dipersempit ke routine bernomor spesifik. Beberapa routine hanya aktif bila entitlement sensitif tersedia.

Entitlement sensitif dan dampaknya

Entitlement com.apple.private.verified-jit memengaruhi izin JIT dan beberapa rutinitas MIG. Tanpa entitlement itu, banyak operasi yang tidak tersedia untuk process WebContent.

Jenis	Contoh	Keterangan
Services diizinkan	mobileassetd, iconservices, webinspector	Dipakai untuk fitur web yang aman
Services diblokir	containermanagerd, analyticsd	Mencegah akses ke antarmuka sensitif
Tools	Sandblaster	Mendukung dump profil dari kernelcache untuk analisis

Profil ini besar dan rinci—sekitar puluhan ribu baris—karena memory dan performa juga diperhitungkan saat menentukan operasi yang boleh berjalan within sandbox.

Ios Sandboxing Loophole: definisi, penyebab, dan permukaan serangan

Definisi singkat: sebuah jalan pintas keamanan muncul ketika aturan sandbox tidak menutup semua way di environment produksi. Loophole ini bukan selalu bug tunggal; seringnya gabungan asumsi salah dan interaksi kompleks.

Di mana celah mulai

Akses awal sering lewat parser yang memproses konten otomatis, misalnya preview gambar atau tautan. Input yang dibuat khusus dapat memicu memory corruption seperti buffer overflow, use-after-free, atau integer overflow.

Logic error vs memory corruption

Memory corruption bisa memberi kesempatan untuk code execution di konteks terbatas sebelum upaya escape.
Logic error memungkinkan bypass kontrol tanpa mengubah memori, misalnya dengan memicu alur proses yang tak diprediksi.
Serangan nyata sering merangkai bug kecil menjadi exploit chain yang lengkap untuk mendapatkan lebih banyak access ke system.

Jenis	Penyebab	Resiko
Parser otomatis	Input tak tervalidasi	Initial access & crash
Memory issues	Buffer overflow / UAF	Code execution terbatas
Logic flaws	Alur proses salah desain	Bypass kontrol tanpa korupsi memori

Memahami akar penyebab membantu menentukan mitigasi praktis, mis. membatasi pemrosesan otomatis, memperketat validasi input, dan memprioritaskan perbaikan yang mengurangi permukaan serang di environment produksi.

Tiga aplikasi/layanan yang kerap jadi jalur loophole

Layanan yang mengonversi atau menampilkan file otomatis sering terbuka terhadap exploit rantai. Kasus nyata menunjukkan attacker menargetkan pipeline konversi dan preview untuk mencapai code execution awal.

iMessage — Kismet & FORCEDENTRY

iMessage menjadi target utama karena content diparse otomatis. Kismet (2020) mengeksploit iMessage di era iOS 13.x sebagai contoh attack berantai.

FORCEDENTRY (2021) menyamar sebagai GIF tapi memicu bug di CoreGraphics via PDF. Payload ini melewati BlastDoor lewat IMTranscoderAgent yang awalnya kurang dilindungi.

HomeKit — PWNYOURHOME

PWNYOURHOME (2022) memanfaatkan undangan berbagi HomeKit sebagai trigger. Tahap lanjutnya melibatkan iMessage untuk eskalasi.

Kasus ini menegaskan bahwa bukan hanya app pesan; service lain yang memproses undangan atau metadata juga rentan.

WhatsApp — panggilan video tanpa dijawab

Pada 2019 ditemukan bug pada mekanisme panggilan video yang bisa dieksploit tanpa user menjawab call.

Contoh ini memperlihatkan bagaimana interaksi minimal bisa memberi akses awal ke memory dan membuka jalan untuk eskalasi lebih jauh.

App/Layanan	Vektor	Impak
iMessage	Media/preview via IMTranscoderAgent	Initial code execution
HomeKit	Undangan berbagi	Trigger & eskalasi melalui pesan
WhatsApp	Incoming video call	Remote exploit tanpa interaksi

Cara memetakan attack surface aplikasi dalam sandbox

Mulai dengan memetakan semua titik interaksi antara process dan sistem. Pendekatan ini membantu Anda melihat surface yang berisiko sebelum masuk ke pengujian teknis.

Men-dump dan membaca profiles dengan tools like Sandblaster

Unduh kernelcache, ekstrak sandbox.kext, lalu identifikasi profil terkompilasi dan daftar operations. Gunakan tools like Sandblaster untuk mengurai aturan lengkap.

Sandblaster mendukung versi kernel modern sehingga Anda dapat membaca rule untuk mach-lookup, syscall-unix/mig, dan akses direktori.

Menguji access: mach services, syscalls, dan file

Lakukan uji akses ke mach services yang diizinkan untuk proses target. Verifikasi syscall yang terbuka dan permissions pada files atau direktori seperti cache dan tmp.

Bandingkan operasi yang allowed vs denied di profiles.
Kontrol pengujian dengan kasus positif dan negatif untuk memastikan aturan bekerja.
Catat resources yang terbuka tanpa kebutuhan nyata; ini kandidat pengurangan surface.

Langkah	Tujuan	Output
Dump kernelcache	Ambil sandbox profiles	List rules per profile
Analisis Sandblaster	Baca aturan lengkap	Dokumentasi operations & services
Uji akses	Verifikasi control runtime	Temuan & rekomendasi

Dokumentasikan setiap temuan agar tim dapat menindaklanjuti dengan pembatasan permissions atau perubahan konfigurasi. Prioritaskan penguncian resource yang tidak perlu untuk menurunkan attack surface secara nyata.

Langkah praktis mengeraskan iPhone Anda

Dengan beberapa pengaturan tepat, user berisiko tinggi bisa mengurangi eksposur serangan. Fokus pada tindakan yang mudah dilakukan namun efektif.

Aktifkan Lockdown Mode untuk risiko tinggi

Lockdown Mode menonaktifkan banyak vektor berbahaya seperti preview link, tipe pesan kompleks, undangan HomeKit, dan FaceTime dari nomor tak dikenal.

Untuk users dengan profil ancaman lebih tinggi, mode ini memberi security measures tambahan. Beberapa exploit NSO diketahui gagal saat mode ini aktif.

Kurangi permukaan serangan: nonaktifkan layanan yang tak digunakan

Matikan fitur yang tidak perlu seperti HomeKit, FaceTime, atau unduhan media otomatis pada app pesan.

Menonaktifkan fitur mengurangi peluang pelaku memicu bug pada pipeline pemrosesan konten.

Pembaruan sistem, perizinan app, dan kebersihan konfigurasi

Selalu update device agar patch keamanan menutup celah yang sering dipakai penyerang.

Batasi akses app ke kontak, foto, mikrofon, dan lokasi. Gunakan “Ask Every Time” bila ragu.

Pasang hanya dari App Store resmi untuk menjaga integritas app security dan mencegah pemasangan profil berbahaya.

Cadangkan data penting dan siapkan rencana respons bila gejala kompromi muncul.
Jika curiga, pertimbangkan pemeriksaan forensik seperti MVT.
Untuk gambaran lebih lanjut soal exploit zero-click, baca penjelasan zero-click dan mitigasi.

Aksi	Efek	Direkomendasikan untuk
Aktifkan Lockdown Mode	Blokir banyak vektor pesan dan link	Users berisiko tinggi
Matikan layanan tak terpakai	Kurangi target penyerang pada device	Semua user
Update rutin & App Store resmi	Tutup exploit yang sudah diketahui	Semua user
Batasi izin app	Kurangi akses sensitive ke data	User yang ingin privasi lebih

Perlindungan Apple: BlastDoor, PAC, dan batasannya

Apple security memakai beberapa lapis agar satu bug tidak langsung menguasai perangkat. Pendekatan ini mengurangi dampak, tapi tidak menghapus kemungkinan rangkaian eksploit.

Bagaimana lapisan bekerja bersama

BlastDoor memisahkan konten iMessage ke proses terkeras dan sandbox yang ketat. ASLR mengacak alamat memori, sementara PAC (pada perangkat A12 ke atas) menandatangani pointer untuk mencegah pembajakan.

Mengapa chain exploit tetap mungkin

Contoh FORCEDENTRY menunjukkan penyerang menarget process samping seperti IMTranscoderAgent yang awalnya kurang dilindungi. Menyerang proses lain memungkinkan melewati proteksi utama.

Keuntungan: lapisan menurunkan keberhasilan banyak attacks.
Batasan: PAC menjaga pointer tapi logic error sering kebal terhadap perlindungan ini.
Implikasi: pada system kompleks, processes baru atau service yang kurang diuji bisa jadi titik lemah.

Komponen	Peran	Efek jika gagal
BlastDoor	Isolasi konten iMessage	Kurangnya isolasi memudahkan eksekusi awal
PAC	Perlindungan pointer	Manipulasi pointer sulit, tapi bukan solusi untuk logic bug
ASLR	Mengacak alamat	Eksploit yang mengandalkan alamat statis menjadi lebih sulit

Pelajaran penting: selalu update perangkat, batasi layanan yang tidak perlu, dan gunakan pengaturan mitigasi untuk menambah lapisan defense di luar perlindungan default.

Praktik aman bagi jurnalis, aktivis, dan pengguna berisiko di Indonesia

Jurnalis dan aktivis di Indonesia perlu langkah praktis untuk menjaga keamanan perangkat di tengah ancaman digital.

Prioritaskan pembaruan sistem dan pertimbangkan mengaktifkan Lockdown Mode jika Anda termasuk kelompok berisiko tinggi. Mode ini terbukti memblokir beberapa serangan canggih.

Atur permissions ketat pada tiap app. Batasi access ke data sensitif dan matikan fitur yang tak diperlukan. Nonaktifkan pratinjau content dan unduhan media otomatis untuk mengurangi peluang exploit lewat file.

Gunakan hanya aplikasi komunikasi yang tepercaya dan unduh dari App Store resmi.
Waspadai call atau pesan dari nomor tak dikenal; meski zero-click kadang tidak memerlukan interaksi, kewaspadaan tetap penting.
Jaga device selalu terkunci dengan passcode kuat dan aktifkan proteksi akun seperti 2FA dan notifikasi iCloud.
Siapkan jalur respon insiden: audit akun, cabut sesi asing, dan pertimbangkan pemeriksaan dengan Mobile Verification Toolkit jika dicurigai kompromi.
Kurangi jejak digital: matikan layanan lokasi saat tidak digunakan dan cek pengaturan berbagi data.

Aksi	Manfaat	Saran untuk
Aktifkan Lockdown Mode	Kurangi permukaan serang	Users berisiko tinggi
Batasi permissions app	Kurangi eksfiltrasi data	Semua user
Gunakan App Store resmi	Kendalikan integritas app	Semua user

Untuk konteks historis exploit pada perangkat mobile, baca analisis mendalam tentang serangan lama dalam artikel terkait di riwayat exploit iPhone.

Kesimpulan

Kesimpulan

Dalam praktik, kombinasi profil, entitlements, ASLR, dan modul seperti BlastDoor membuat permukaan serang lebih kecil. Namun app dan services yang memproses content otomatis tetap jadi target karena risiko memory corruption dan logic error.

Untuk menjaga device dan data sensitif: baca profiles bila memungkinkan, minimalkan permissions, perbarui system secara rutin, dan pasang aplikasi hanya dari App Store. Jika lingkungan Anda berisiko tinggi, aktifkan Lockdown Mode untuk memperkecil attack surface.

Akhirnya, kombinasi apple security bawaan dan kebiasaan user yang bijak adalah strategi paling realistis untuk melindungi access dan menjaga app security dalam batas sandbox.