Harry James
0 
1941
291
Nova ranjivost Androida brine svijet sigurnosti - i vaš Android telefon čini izuzetno ranjivim. Izdanje dolazi u obliku šest pogrešaka u bezazlenom Android modulu nazvanom StageFright koji se koristi za reprodukciju medija.
Programi StageFright omogućavaju zlonamjernom MMS-u, koji mu je poslao haker, izvršavanje zlonamjernog koda unutar StageFright modula. Od tamo kod ima nekoliko opcija za stjecanje kontrole nad uređajem. Od sada, nešto poput 950 milijuna uređaja ranjivo je zbog ovog iskorištavanja.
To je, najjednostavnije rečeno, najgora ranjivost Androida u povijesti.
Tiho preuzimanje
Korisnici Androida već se uzrujavaju zbog kršenja i to s dobrim razlogom. Brzo skeniranje Twittera pokazuje kako se mnogi bijesni korisnici iskaču dok vijesti prožimaju web.
Koliko čujem, čak ni uređaji Nexus nisu dobili zakrpu za #Stagefright. Ima li telefon? http://t.co/bnNRW75TrD
- Thomas Brewster (@iblametom) 27. srpnja 2015
Dio onoga što ovaj napad čini toliko zastrašujućim jest to što malo korisnika može učiniti da se zaštiti od njega. Vjerojatno nisu ni znali da se napad dogodio.
Da biste napali Android uređaj, morate navesti korisnika da instalira zlonamjernu aplikaciju. Ovaj je napad različit: napadač bi jednostavno trebao znati vaš telefonski broj i poslati zlonamjernu multimedijsku poruku.
Ovisno o tome koju aplikaciju za razmjenu poruka koristite, možda niste ni znali da je poruka stigla. Na primjer: ako vaše MMS poruke prolaze kroz Google Hangouts Andoida Kako koristiti Google Hangouts na Androidu Kako koristiti Google Hangouts u vašim Android Google+ Hangoutsima, Google je odgovor na chat sobe. Možete se družiti s do 12 osoba pomoću video, audio i tekstualnog chata, kao i nekoliko neobaveznih aplikacija. Hangout je dostupan na vašem Androidu…, zlonamjerna poruka moći će preuzeti kontrolu i sakriti se prije nego što sustav čak upozori korisnika da je stigao. U drugim slučajevima eksploatacija možda neće započeti sve dok se poruka zaista ne pogleda, ali većina korisnika jednostavno bi je otpisala kao neškodljiv neželjeni tekst Identificirajte nepoznate brojeve i blokirajte neželjene tekstualne poruke pomoću Truemessenger-a za Android Identificirajte nepoznate brojeve i blokirajte neželjenu tekstualnu poruku s Truemessenger za Android Truemessenger fantastična je nova aplikacija za slanje i primanje tekstualnih poruka, a može vam reći tko je nepoznati broj i blokirati neželjenu poštu. ili pogrešan broj.
Kad se uđe u sustav, kod koji se izvodi unutar StageFright-a automatski ima pristup fotoaparatu i mikrofonu, kao i Bluetooth perifernim uređajima i svim podacima pohranjenim na SD kartici. To je dovoljno loše, ali (nažalost) to je tek početak.
Dok Android Lollipop implementira niz sigurnosnih poboljšanja 8 načina nadogradnje na Android Lollipop čini vaš telefon sigurnijim 8 načina nadogradnje na Android Lollipop čini vaš telefon sigurnijim Naši pametni telefoni puni su osjetljivih podataka, pa kako se možemo čuvati? S Android Lollipopom, koji u bujnu sigurnosnu arenu postiže velike mogućnosti, unosi značajke koje poboljšavaju sigurnost na svim stranama. , većina Android uređaja i dalje koristi starije verzije OS-a. Kratki vodič za verzije i ažuriranja za Android [Android] Kratki vodič za verzije i ažuriranja za Android [Android] Ako vam netko kaže da ima Android, ne kaže se kao onoliko koliko biste pomislili. Za razliku od glavnih računalnih operativnih sustava, Android je široki OS koji pokriva brojne verzije i platforme. Ako želite…, a ranjivi ste na nešto što se zove “napad eskalacije privilegija.” Android aplikacije su obično “Sandboxed Što je Sandbox, a zašto biste igrali u onome što je Sandbox, i zašto biste trebali igrati u jednom High-connective programu može učiniti puno, ali oni su i otvorena pozivnica da loši hakeri napadnu. Kako se spriječi da štrajkovi postanu uspješni, programer bi trebao uočiti i zatvoriti svaku rupu u… “, omogućujući im pristup samo onim aspektima OS-a za koje je odobreno izričito dopuštenje za upotrebu. Napadi eskalacije evolucije omogućuju zlonamjerni kod “trik” Android operativni sustav koji mu omogućava sve veći pristup uređaju.
Nakon što zlonamjerni MMS preuzme kontrolu nad StageFrightom, mogao bi pomoću tih napada preuzeti potpunu kontrolu nad starijim, nesigurnim Android uređajima. Ovo je scenarij noćne more za sigurnost uređaja. Jedini uređaji koji su potpuno imuni na ovaj problem su oni koji imaju operativne sustave starije od Androida 2.2 (Froyo), što je inačica koja je StageFrightu uvela prvo mjesto.
Spori odgovor
Range StageFright izvorno je otkrio u travnju Zimperium zLabs, skupina sigurnosnih istraživača. Istraživači su problem prijavili Googleu. Google je brzo izdao zakrpu proizvođačima - međutim, vrlo je malo proizvođača proizvođača zapravo zakrpu na svoje uređaje. Istraživač koji je otkrio bugu, Joshua Drake, vjeruje da je oko 950 milijuna od procijenjenih milijardu android uređaja u prometu ranjivo na neki oblik napada.
Yay! @BlackHatEvents ljubazno je prihvatio moju predaju da govori o svom istraživanju na @ Android-ovom StageFrightu! https://t.co/9BW4z6Afmg
- Joshua J. Drake (@jduck) 20. svibnja 2015
Googleovi vlastiti uređaji poput Nexusa 6 dijelom su zakrpljeni prema Drakeu, iako još uvijek postoje neke ranjivosti. U e-poruci FORBES-u na tu temu, Google je uvjeravao korisnike,
“Većina Android uređaja, uključujući sve novije uređaje, ima više tehnologija koje su dizajnirane da otežaju eksploataciju. Android uređaji uključuju i program s vrećicom softvera dizajniran za zaštitu korisničkih podataka i drugih aplikacija na uređaju,”
Međutim, to nije mnogo utjehe. Do Android Jellybean Top 12 Savjeti za Jelly Bean Top 12 Savjeti za Google tablete Top 12 Savjeti za Jelly Bean Android za novo iskustvo Google tableta Android Jelly Bean 4.2, prvobitno isporučen na Nexus 7, pruža sjajno novo iskustvo tableta koje nadmašuje prethodne verzije Androida. To se čak dojmilo našeg rezidentnog Appleovog obožavatelja. Ako imate Nexus 7, ..., Sandboxing je u Androidu relativno slab, a postoji nekoliko poznatih podviga koji se mogu iskoristiti za njegovo kretanje. Zapravo je presudno da proizvođači ispravno otkriju ovo pitanje.
Što možeš učiniti?
Nažalost, proizvođači hardvera mogu biti vrlo spori u implementaciji ovakvih kritičnih sigurnosnih zakrpa. Svakako vrijedi kontaktirati odjel za korisničku podršku svog proizvođača i pitati za procjenu kada će zakrpe biti dostupne. Javni pritisak će vjerojatno pomoći ubrzati stvari.
Sa strane Drakea, planira otkriti puni opseg svojih otkrića na DEFCON-u, međunarodnoj konferenciji o sigurnosti koja se održava početkom kolovoza. Nadamo se da će dodatna promidžba potaknuti proizvođače uređaja da brzo objavljuju ažuriranja, sada kada je napad općepoznata.
Šire gledano, ovo je dobar primjer zašto je Android fragmentacija takva sigurnosna noćna mora.
Ponovo je katastrofa da su #Android ažuriranja u rukama proizvođača hardvera. Trebao ozbiljno naštetiti Androidu #Trema
- Mike? (@mipesom) 27. srpnja 2015
Na zaključanom ekosustavu poput iOS-a, zakrpa za to mogla bi biti izgurana za nekoliko sati. Na Androidu mogu potrajati mjeseci ili godine da bi se svi uređaji ubrzali zbog ogromne razine fragmentacije. Zanima me vidjeti kakva su rješenja u narednih nekoliko godina s ciljem da Google iznese ove vitalno važne sigurnosne nadopune iz ruku proizvođača proizvođača.
Jeste li korisnik Androida koji ima ovaj problem? Zabrinuti zbog svoje privatnosti? Javite nam svoje misli u komentarima!
Kreditna slika: Osvjetljena tipkovnica od Wikimedia