Κενό ασφαλείας πιθανό να εκθέτει τα αποθηκευμένα μηνύματα του WhatsApp σε τρίτες εφαρμογές

[DSLaManiaC]

Kαλα κανει.

Δεν χρειαζεται να τα κανει καποιος αλλος ολα για εμας, μπoρουμε να τα κανουμε και μονοι μας.

Ναι εντάξει συμφωνούμε δε χρειάζεται επιπλέον συζήτηση.

"Το Android είναι γαμάτο, καλά κάνει"

[Gordito]

Υπαρχει και αλλη πλατφορμα, που τα κανει ολα για σενα.

Στο ονομα της ασφαλειας, ας αφαιρεσουν και 500 features, και ας βαλουν 500 περιορισμους.

YΓ

Το whatsapp, δεν πρεπει να εχει προσβαση παντου, για να στελνεις φωτο, αρχεια;
Εχεις καποια λυση, περαν του ανελεητου barking;

[DSLaManiaC]

Υπαρχει και αλλη πλατφορμα, που τα κανει ολα για σενα.

Στο ονομα της ασφαλειας, ας αφαιρεσουν και 500 features, και ας βαλουν 500 περιορισμους.

YΓ

Το whatsapp, δεν πρεπει να εχει προσβαση παντου, για να στελνεις φωτο, αρχεια;
Εχεις καποια λυση, περαν του ανελεητου barking;

Gordito θα τρελαθούμε τώρα? Δηλαδή η μία επιλογή είναι το 1000κλειδωμένο iOS και η άλλη είναι το ξέφραγκο αμπέλι που αφήνουμε τα πάντα να διαβάζουν ότι να ναι όπου να ναι? Δεν είσαι χαζός και με τρολάρεις λες και δεν αντιλαμβάνεσαι το αυτονόητο, μόνο και μόνο για να υπερασπιστείς ξερά το Android. Να σου θυμίσω πως εγώ δεν ασχολούμαι με κάτι άλλο, το πράσινο ρομποτάκι έχω χρόνια τώρα και θέλω να πιστεύω πως έχω μια άποψη που έχει κάποια βάση.
Πρώτα απ όλα δε μιλάω καν για μένα ή για σένα ή για τον χρήστη που αλλάζει κέρνελς και είναι και μέλος στο XDA καθώς εμείς μπορούμε να παίξουμε με iptables ή άλλες αντίστοιχες λύσεις οπότε ότι και να προσπαθήσει να κάνει οποιαδήποτε εφαρμογή δεν θα έχει πρόσβαση να στείλει τίποτα παραέξω.

Μιλάω έχοντας στο μυαλό μου τον απλό χρήστη που δε γνωρίζει τους ενδεχόμενους κινδύνους του συνδυασμού android.permission.INTERNET & android.permission.READ_EXTERNAL_STORAGE και δεν ξέρει τι είναι το firewall και να σου πω και κάτι? Δεν είναι και υποχρεωμένος ο καθένας που θέλει απλώς ένα smartphone να μάθει τόσο προχωρημένες λειτουργίες και να ξέρει να κάνει root απλώς και μόνο για να έχει μια αυτονόητη γραμμή ασφάλειας στη συσκευή του.

Η ομάδα του Android έκανε ένα πρώτο βήμα ξεκινώντας απ την 4.4 και ίσως να έχεις ακούσει/διαβάσει:

Beginning with Android 4.4, the platform no longer requires that your app acquire the WRITE_EXTERNAL_STORAGE or READ_EXTERNAL_STORAGE when you want to access your app-specific regions of the external storage using methods such as getExternalFilesDir(). However, the permissions are still required if you want to access the shareable regions of the external storage, provided by getExternalStoragePublicDirectory().

Όσον αφορά την ερώτηση σου (με κατηγόρησες για "barking" αλλά καλύτερα να το μεταφράσεις σε "δεν είναι δυνατόν να μη καταλαβαίνουν τι λέω και πρέπει να εξηγήσω τα πλέον αυτονόητα"), ναι έχω πολλές λύσεις στο μυαλό μου ναι για τις περιπτώσεις που χρειάζεσαι απεριόριστη πρόσβαση στο χώρο αποθήκευσης χωρίς να χρειάζεται να καταντήσουμε iOS και να μη μπορούμε να κουνηθούμε.

Για αρχή και με το πιο απλό θα μπορούσε να είναι η ναι μεν να υπάρχει πρόσβαση στους χώρους της SD που είναι κοινόχρηστοι αλλά που όμως δεν είναι ορισμένοι ως αποκλειστικός χώρος χρήσης άλλης εγκατεστημένης εφαρμογής (βλέπε το παραπάνω quote) με δυνατότητα προσθήκης εξαιρέσεων.

Άλλος τρόπος οριστικής πλέον λύσης θα ήταν ένα middleware πάνω στο framework, τοποθετημένο ανάμεσα στις εφαρμογές και την ίδια την external, με δυνατότητα να ορίζεις ακριβώς που θα μπορεί να κάνει τι η κάθε εφαρμογή (που δεν τρέχει απ το /system πάντα) και υλοποίηση backward compatibility με emulation στα ήδη υπάρχοντα permissions για να μη κρασάρουν οι παλιότερες εφαρμογές που δε πρόλαβαν να ενημερωθούν. Δες για παράδειγμα τι κάνει το AppOps αλλά αυτή τη φόρα όχι για δεδομένα και λογαριασμούς αλλά για την external ή πως δουλεύει το Whisperpush και επεξεργάζεται τα SMS.

Προφανώς αυτοί οι περιορισμοί -όπως ήδη συμβαίνει με τις περιοχές της Internal- δεν θα ίσχυουν για τον υπερχρήστη οπότε δε τίθεται καν θέμα κλειδώματος για τους πιο προχωρημένους.
Είμαι ο τελευταίος άνθρωπος που θα υποστηρίξει κλείδωμα τέτοιου είδους που δε θα μπορείς (αν θέλεις εσύ) να παρακάμψεις.

Το ίδιο ισχύει και με το άλλο σημαντικό θέμα της πρόσβασης στο Internet που επίσης επιμένω πως χρήζει άμεσης βελτίωσης. Κι εδώ υπάρχει θέμα γενίκευσης που δυνητικά μπορεί να επιφέρει θέμα ασφάλειας.
Πρέπει κάποια στιγμή να σπάσει το "θέλω να σερβίρω διαφημίσεις στη δωρεάν εφαρμογή μου" απ το "θέλω απεριόριστη πρόσβαση στο διαδίκτυο". Με αυτή τη δικαιολογία, διάφορες εφαρμογές που δεν έχουν καμιά δουλειά να έχουν πρόσβαση στο διαδίκτυο, ζητάνε αυτό το permission φέρνοντας μαζί του και όλους τους ενδεχόμενους κινδύνους.

[Gordito]

Ναι.

Οταν θελω να στειλω ενα αρχειο απο την SD μου σε καποιον αλλο, με οποιοδηποτε app, τι ακριβως permission θελει το app αυτο;
Πληρη προσβαση στην SD.

Θα εχω ορισει εγω 'κοινοχρηστους φακελους';
Θα το κανει το android για μενα;
Βλεπεις την δυσκολια;

Εχεις καποια λυση;

[DSLaManiaC]

Ναι.

Οταν θελω να στειλω ενα αρχειο απο την SD μου σε καποιον αλλο, με οποιοδηποτε app, τι ακριβως permission θελει το app αυτο;
Πληρη προσβαση στην SD.

Θα εχω ορισει εγω 'κοινοχρηστους φακελους';
Θα το κανει το android για μενα;
Βλεπεις την δυσκολια;

Εχεις καποια λυση;

Διάβασε λίγο πιο προσεκτικά αυτό που έγραψα περί middleware. Θα ορίζεις εσύ συγκεκριμένα μέσα από το Android σε τι ακριβώς μπορεί να έχει πρόσβαση ο File Manager ή η εφαρμογή που έχεις στο μυαλό σου. Αν εσύ θες να δώσεις πλήρη πρόσβαση στην SD go ahead αλλά στις περισσότερες των περιπτώσεων αυτό δε χρειάζεται καθώς οι αποστολές αρχείων στην πλειονότητα τους αφορούν multimedia που ούτως ή άλλως έχουν συγκεκριμένο σημείο αποθήκευσής.
Με την ενδεχόμενη υλοποίηση middleware αυτό μπορεί να πάει πολλά βήματα παραπέρα: Να μπορεί η εφαρμογή πχ να έχει μεν πρόσβαση στην SD αλλά να βλέπει μόνο images. Κάνε χρήση της φαντασίας σου.

Δε σου αρέσει αυτό? Τουλάχιστον ξαναδιάβασε το κομμάτι που ανέφερα για έναν υποτυπώδη περιορισμό τουλάχιστον στον αποκλειστικό χώρο χρήσης (στην external) άλλης εφαρμογής.

[nnn]

Πάντως η KitKat έφερε κάποιες αλλαγές στο τι και που έχουν δικαιώματα να γράψουν οι εφαρμογές.

[DSLaManiaC]

Πάντως η KitKat έφερε κάποιες αλλαγές στο τι και που έχουν δικαιώματα να γράψουν οι εφαρμογές.

Είναι μια αρχή αλλά το βασικό είναι το 'Read' όπου ακόμη δεν υπάρχει περιορισμός ως προς αυτό το κομμάτι.

Για να μπήκαν στη διαδικασία να αλλάξουν το 'Write' μάλλον αρχίζουν και το ψάχνουν ή τουλάχιστον έτσι θέλω να ελπίζω.

[grigsgr]

Διάβασε λίγο πιο προσεκτικά αυτό που έγραψα περί middleware. Θα ορίζεις εσύ συγκεκριμένα μέσα από το Android σε τι ακριβώς μπορεί να έχει πρόσβαση ο File Manager ή η εφαρμογή που έχεις στο μυαλό σου. Αν εσύ θες να δώσεις πλήρη πρόσβαση στην SD go ahead αλλά στις περισσότερες των περιπτώσεων αυτό δε χρειάζεται καθώς οι αποστολές αρχείων στην πλειονότητα τους αφορούν multimedia που ούτως ή άλλως έχουν συγκεκριμένο σημείο αποθήκευσής.
Με την ενδεχόμενη υλοποίηση middleware αυτό μπορεί να πάει πολλά βήματα παραπέρα: Να μπορεί η εφαρμογή πχ να έχει μεν πρόσβαση στην SD αλλά να βλέπει μόνο images. Κάνε χρήση της φαντασίας σου.

Δε σου αρέσει αυτό? Τουλάχιστον ξαναδιάβασε το κομμάτι που ανέφερα για έναν υποτυπώδη περιορισμό τουλάχιστον στον αποκλειστικό χώρο χρήσης (στην external) άλλης εφαρμογής.

Συγνώμη που παρεμβαίνω αλλά σου είπε κανείς εσένα ότι ο απλός χρήστης στον οποίο και αναφέρθηκες θα γνωρίζει να ορίσει συγκεκριμένα σημεία (φακέλους ή ό,τι) στα οποία η κάθε εφαρμογή θα έχει πρόσβαση και μόνο εκεί; Ούτε το ένα θα μπορεί να κάνει, ούτε το άλλο και επίσης μην σου πώ οτι θα πει στα δι@@@ και να πάει να γαμ@@@@ δεν θα ασχοληθώ καθόλου και δεν θα την κατεβάσω την εφαρμογή. Αν μιλάς για τον απλό χρήστη λοιπόν, άστο. Μην κόπτεσαι και ιδιαίτερα. Όσο άσχετος είναι με τον Η/Υ του, τόσο άσχετος είναι και με το κινητό του.

Και για να σχολιάσω και το πιο πάνω μήνυμα σου. Εγώ είμαι ένας χρήστης λίγο μετά τον απλό χρήστη. Τα σημαντικά μου αρχεία τα έχω στο ΒΟΧ και τα ανοίγω απο εκεί απευθείας όποτε τα χρειάζομαι χωρίς να τα αποθηκεύω στη συσκευή μου. Και ναι. Έχω ΜΟΝΙΜΟ ίντερνετ και δεν παρακαλώ για WiFi (την έχω εκφράσει ξανά την άποψή μου για τους χρήστες Smartphone που τα αγοράζουν και τσιγκουνεύονται να έχουν πακέτο δεδομένων) με αποτέλεσμα, να είμαι απλός χρήστης και ασφαλής στα δεδομένα μου.

[DSLaManiaC]

Συγνώμη που παρεμβαίνω αλλά σου είπε κανείς εσένα ότι ο απλός χρήστης στον οποίο και αναφέρθηκες θα γνωρίζει να ορίσει συγκεκριμένα σημεία (φακέλους ή ό,τι) στα οποία η κάθε εφαρμογή θα έχει πρόσβαση και μόνο εκεί; Ούτε το ένα θα μπορεί να κάνει, ούτε το άλλο και επίσης μην σου πώ οτι θα πει στα δι@@@ και να πάει να γαμ@@@@ δεν θα ασχοληθώ καθόλου και δεν θα την κατεβάσω την εφαρμογή. Αν μιλάς για τον απλό χρήστη λοιπόν, άστο. Μην κόπτεσαι και ιδιαίτερα. Όσο άσχετος είναι με τον Η/Υ του, τόσο άσχετος είναι και με το κινητό του.

Και για να σχολιάσω και το πιο πάνω μήνυμα σου. Εγώ είμαι ένας χρήστης λίγο μετά τον απλό χρήστη. Τα σημαντικά μου αρχεία τα έχω στο ΒΟΧ και τα ανοίγω απο εκεί απευθείας όποτε τα χρειάζομαι χωρίς να τα αποθηκεύω στη συσκευή μου. Και ναι. Έχω ΜΟΝΙΜΟ ίντερνετ και δεν παρακαλώ για WiFi (την έχω εκφράσει ξανά την άποψή μου για τους χρήστες Smartphone που τα αγοράζουν και τσιγκουνεύονται να έχουν πακέτο δεδομένων) με αποτέλεσμα, να είμαι απλός χρήστης και ασφαλής στα δεδομένα μου.

Απ το να εκτίθεται σε κινδύνους που δε γνωρίζει, καλύτερα να μη γνωρίζει πως να μπει σε ένα μενού και να κάνει Toggle. Το πρόβλημα της ασφάλειας των δεδομένων ήταν ανέκαθεν μεγάλο θέμα για τον απλό και όχι τόσο για το πιο ψαγμένο χρήστη, ανεξαρτήτως πλατφόρμας.

Η δεύτερη παράγραφος θα μας βάλει σε άλλη συζήτηση περί της ασφάλειας του Cloud και βγαίνουμε εκτός θέματος.

[nnn]

Though the WhatsApp database is supposed to be encrypted to prevent casual snooping, Bosschert found it wasn't difficult to extract the database key with the aid of an existing program and to decrypt the results.

Bosschert's proof of concept involved creating another Android application, which he used for silently siphoning WhatsApp's SQLite database. He then transmitted the results to a remote Web server for further work.

Λίγο πιο αναλυτικά για το τι γίνεται στην περίπτωση.

- - - Updated - - -

http://www.infoworld.com/t/encryptio...tabases-238265

[DSLaManiaC]

Ανάγνωση και ανέβασμα.

Δύο στα δύο.

[Zus]

Και για να σχολιάσω και το πιο πάνω μήνυμα σου. Εγώ είμαι ένας χρήστης λίγο μετά τον απλό χρήστη. Τα σημαντικά μου αρχεία τα έχω στο ΒΟΧ και τα ανοίγω απο εκεί απευθείας όποτε τα χρειάζομαι χωρίς να τα αποθηκεύω στη συσκευή μου. Και ναι. Έχω ΜΟΝΙΜΟ ίντερνετ και δεν παρακαλώ για WiFi (την έχω εκφράσει ξανά την άποψή μου για τους χρήστες Smartphone που τα αγοράζουν και τσιγκουνεύονται να έχουν πακέτο δεδομένων) με αποτέλεσμα, να είμαι απλός χρήστης και ασφαλής στα δεδομένα μου.

Έχω αγοράσει smartphone, χωρίς να έχω μόνιμα δεδομένα διαθέσιμα και είμαι απόλυτα ευχαριστημένος. Δεν παρακαλάω για wifi, αν υπάρχει στο μέρος που βρίσκομαι καλώς αν δεν υπάρχει δεν χάθηκε και ο κόσμος, θα επιζήσω και χωρίς πρόσβαση.

[Gordito]

Απ το να εκτίθεται σε κινδύνους που δε γνωρίζει, καλύτερα να μη γνωρίζει πως να μπει σε ένα μενού και να κάνει Toggle. Το πρόβλημα της ασφάλειας των δεδομένων ήταν ανέκαθεν μεγάλο θέμα για τον απλό και όχι τόσο για το πιο ψαγμένο χρήστη, ανεξαρτήτως πλατφόρμας.

Η δεύτερη παράγραφος θα μας βάλει σε άλλη συζήτηση περί της ασφάλειας του Cloud και βγαίνουμε εκτός θέματος.

Nαι, για να στειλεις ενα αρχειο, να κανεις ολοκληρες μανουβρες. Που το 90% ουτε καν θα διαβασει και θα ξερει τι κανει.
Αλλα αν δωσεις προσβαση σε συγκεριμενους φακελους, θα κανει αυτους μετα ουτως η αλλως upload (αν θελει) οποτε παλι θεμα θα εχεις με την ασφαλεια. Αλλα μικροτερο.

Πολυ κουβεντα για το αν και πολυ δυσλειτουργια.
Αυτος που θελει προστατευεται.
Και το αλλο 95% κανει τη δουλεια του ανετα.

[grigsgr]

Η δεύτερη παράγραφος θα μας βάλει σε άλλη συζήτηση περί της ασφάλειας του Cloud και βγαίνουμε εκτός θέματος.

Το ξέρω ότι θα μπούμε σε άλλη συζήτηση και γι'αυτό δεν το προχωράω. Γνωρίζω τα περί ασφάλειας στο σύννεφο αλλά ναι, είναι άλλη και πολύ μεγάλη συζήτηση. Πάντως δεν είναι τοπικά στη συσκευή μου και δεν εθελοτυφλώ, αν ήθελα να είμαι ασφαλής δεν θα είχα κινητό-ίντερνετ-ένα-σωρό-ακόμη-στοιχεία.

Έχω αγοράσει smartphone, χωρίς να έχω μόνιμα δεδομένα διαθέσιμα και είμαι απόλυτα ευχαριστημένος. Δεν παρακαλάω για wifi, αν υπάρχει στο μέρος που βρίσκομαι καλώς αν δεν υπάρχει δεν χάθηκε και ο κόσμος, θα επιζήσω και χωρίς πρόσβαση.

Επειδή εγώ έχω αρχεία τα οποία όπως προανέφερα τα έχω στο σύννεφο και μπορεί να τα χρειαστώ ανά πάσα στιγμή όπως επίσης και επειδή υπάρχουν πολλά που μπορεί να χρειαστώ, χάρτες, πληροφορίες, email, εταιρικό email, μηνύματα με φίλους απο προγράμματα τύπου Viber μέχρι ούτε κι εγώ μπορώ να φανταστώ, για όλα αυτά χρειάζομαι το Smartphone. Το πήρα εξαρχής γιατί απλά μου κίνησε το ενδιαφέρον και με τη χρήση κατάλαβα τι μπορεί να μου προσφέρει. Δεν το έχω ούτε για να παίζω ΜΟΝΟ παιχνίδια και να κάνω το εφέ μου, ούτε για να βλέπω βιντεάκια στο YouTube. Συγνώμη που μπορεί να φαίνομαι λίγο κακός αλλά όλους όσους δεν έχουν ίντερνετ στο κινητό και επέλεξαν να πάρουν Smartphone τους θεωρώ καμένους (οι μισοί γιατί είναι μόδα και το αγόρασαν) και οι άλλοι γιατί ακόμη προσπαθώ να σκεφτώ μια λογική απάντηση στην ερώτηση "Γιατί το αγόρασες αφού δεν του κάνεις την χρήση για την οποία προσφέρεται";

[Zus]

Επειδή εγώ έχω αρχεία τα οποία όπως προανέφερα τα έχω στο σύννεφο και μπορεί να τα χρειαστώ ανά πάσα στιγμή όπως επίσης και επειδή υπάρχουν πολλά που μπορεί να χρειαστώ, χάρτες, πληροφορίες, email, εταιρικό email, μηνύματα με φίλους απο προγράμματα τύπου Viber μέχρι ούτε κι εγώ μπορώ να φανταστώ, για όλα αυτά χρειάζομαι το Smartphone. Το πήρα εξαρχής γιατί απλά μου κίνησε το ενδιαφέρον και με τη χρήση κατάλαβα τι μπορεί να μου προσφέρει. Δεν το έχω ούτε για να παίζω ΜΟΝΟ παιχνίδια και να κάνω το εφέ μου, ούτε για να βλέπω βιντεάκια στο YouTube. Συγνώμη που μπορεί να φαίνομαι λίγο κακός αλλά όλους όσους δεν έχουν ίντερνετ στο κινητό και επέλεξαν να πάρουν Smartphone τους θεωρώ καμένους (οι μισοί γιατί είναι μόδα και το αγόρασαν) και οι άλλοι γιατί ακόμη προσπαθώ να σκεφτώ μια λογική απάντηση στην ερώτηση "Γιατί το αγόρασες αφού δεν του κάνεις την χρήση για την οποία προσφέρεται";

Πρέπει να αστειεύεσαι δεν εξηγείται αλλιώς.