Εμφάνιση 1-5 από 5
  1. #1
    Εγγραφή
    22-09-2003
    Μηνύματα
    81.687
    Downloads
    218
    Uploads
    48
    Άρθρα
    6
    Τύπος
    VDSL2
    Ταχύτητα
    204800/20480
    ISP
    Wind
    Router
    Technicolor DGA4130
    SNR / Attn
    6(dB) / 2.8(dB)
    Path Level
    Interleaved
    Security
    Δελτίο Τύπου:
    Η Check Point Research (CPR) εντόπισε ευπάθειες στον μηχανισμό πληρωμών μέσω κινητού Xiaomi. Σε περίπτωση που αυτή δεν επιδιορθωθεί, ένας εισβολέας θα μπορούσε να κλέψει τους κδικούς που χρησιμοποιούνται για την υπογραφή των Wechat Pay πακέτων ελέγχου και πληρωμών. Στη χειρότερη περίπτωση, μια μη εξουσιοδοτημένη εφαρμογή Android θα μπορούσε να δημιουργήσει και να υπογράψει ένα ψεύτικο πακέτο πληρωμής.

    - Βρέθηκαν τρωτά σημεία στο αξιόπιστο περιβάλλον της Xiaomi
    - Πάνω από 1 δισεκατομμύριο χρήστες θα μπορούσαν να έχουν επηρεαστεί
    - Η Xiaomi αναγνώρισε και διόρθωσε τα κενά ασφαλείας

    Η Check Point Research (CPR) εντόπισε ευπάθειες στον μηχανισμό πληρωμών μέσω κινητού Xiaomi. Αν δεν επιδιορθωθεί, ένας εισβολέας θα μπορούσε να κλέψει τα ιδιωτικά κλειδιά που χρησιμοποιούνται για την υπογραφή των πακέτων ελέγχου και πληρωμής του Wechat Pay. Στη χειρότερη περίπτωση, μια μη εξουσιοδοτημένη εφαρμογή Androidθα μπορούσε να δημιουργήσει και να υπογράψει ένα ψεύτικο πακέτο πληρωμής.

    Συγκεκριμένα, οι ευπάθειες εντοπίστηκαν στο αξιόπιστο περιβάλλον της Xiaomi, το οποίο είναι υπεύθυνο για την αποθήκευση και τη διαχείριση ευαίσθητων πληροφοριών, όπως κωδικούς πρόσβασης. Οι συσκευές που μελετήθηκαν από τη CPR τροφοδοτούνταν από τσιπ της MediaTek.

    Δύο είδη επίθεσης
    Η CPR ανακάλυψε δύο τρόπους επίθεσης στον αξιόπιστο κώδικα:

    1. Από μια μη εξουσιοδοτημένη εφαρμογή Android: Ο χρήστης εγκαθιστά μια κακόβουλη εφαρμογή και την εκκινεί. Η εφαρμογή εξάγει τα κλειδιά και στέλνει ένα ψεύτικο πακέτο πληρωμής για να κλέψει τα χρήματα

    2. Εάν ο δράστης έχει τις συσκευές-στόχους στα χέρια του: Ο επιτιθέμενος κάνει root τη συσκευή, στη συνέχεια υποβαθμίζει το περιβάλλον εμπιστοσύνης και στη συνέχεια εκτελεί τον κώδικα για να δημιουργήσει ένα ψεύτικο πακέτο πληρωμών χωρίς εφαρμογή.

    Η CPR γνωστοποίησε υπεύθυνα τα ευρήματά της στη Xiaomi. Η Xiaomi αναγνώρισε και εξέδωσε διορθώσεις.

    Ο Slava Makkaveev, Security Researcher, Check Point σχολίασε σχετικά:

    "Ανακαλύψαμε ένα σύνολο ευπαθειών που θα μπορούσαν να επιτρέψουν την παραποίηση πακέτων πληρωμών ή την απενεργοποίηση του συστήματος πληρωμών απευθείας, από μια εφαρμογή Android. Καταφέραμε να παραβιάσουμε το WeChat Pay και να υλοποιήσουμε μια πλήρως ολοκληρωμένη επίδειξη της παραβίασης. Η μελέτη μας σηματοδοτεί την πρώτη φορά που οι αξιόπιστες εφαρμογές της Xiaomi εξετάζονται για θέματα ασφαλείας. Κοινοποιήσαμε αμέσως τα ευρήματά μας στην Xiaomi, η οποία εργάστηκε γρήγορα για να εκδώσει μια διόρθωση. Το μήνυμά μας προς το κοινό είναι να βεβαιώνεστε συνεχώς ότι τα τηλέφωνά σας είναι ενημερωμένα στην τελευταία έκδοση που παρέχεται από τον κατασκευαστή. Αν ακόμη και οι πληρωμές μέσω κινητού δεν είναι ασφαλείς, τότε τι είναι;"

  2. #2
    Εγγραφή
    12-06-2011
    Μηνύματα
    7.578
    Downloads
    4
    Uploads
    0
    Τύπος
    FTTH
    Ταχύτητα
    500/50 + 250/80
    ISP
    Ote/Vodafone
    Router
    Pf plus/nokia - mu5001 5G
    To wechat pay οπως και το alipay, αφορουν τους κινεζους.

    Επισης, το προβλημα αφορα μονο mediatek η και αλλους επεξεργαστες?

    Γενικως και αοριστως.... να εκδοσει μια διορθωση για ποια κινητα, και απο ποια ημερομηνια και μετα.

    Η τελευταια φραση δε... Αν ακόμη και οι πληρωμές μέσω κινητού δεν είναι ασφαλείς, τότε τι είναι; Το σφακιανακη συμβουλα πηραν? Να κανουμε factory καθε μηνα? εβδομαδα?

  3. #3
    Εγγραφή
    22-01-2014
    Περιοχή
    ΘεΣσΑλΟνΙκΙ
    Μηνύματα
    1.054
    Downloads
    1
    Uploads
    0
    Τύπος
    VDSL2
    Ταχύτητα
    40/5
    ISP
    ΟΤΕ Conn-x
    DSLAM
    ΟΤΕ - ΠΑΥΛΟΥ ΜΕΛΑ
    Router
    HA35-11 (LTE/ISDN)
    SNR / Attn
    9.2(dB) / 26.3(dB)
    Path Level
    Interleaved
    Τα ίδια και τα ίδια κάθε φορά. Κάθε εβδομάδα βγαίνει και από μια είδηση για το πως κάποιοι "υποτιθέμενοι" hackers θα μπορούσαν να κάνουν τη μία ή την άλλη παραβίαση ασφαλείας . Όλα παραβιάζονται, αρκεί όρεξη να υπάρχει και ο απαιτούμενος χρόνος .
    Τελευταία επεξεργασία από το μέλος newbye : 18-08-22 στις 19:01.

  4. #4
    Εγγραφή
    05-11-2004
    Ηλικία
    33
    Μηνύματα
    3.739
    Downloads
    44
    Uploads
    0
    Άρθρα
    30
    Τύπος
    FTTH
    Ταχύτητα
    200/200 Mbps
    ISP
    Inalan
    Router
    EdgeRouter™ X
    Είμαι σίγουρος πως τα VIP μέλη της Ξαϊόμι Μαϊογιούι Ελλάς θα λάβουν ενημέρωση που θα τους θωρακίζει από αυτόν τον κίνδυνο.
    OK boomer

  5. #5
    Εγγραφή
    07-02-2009
    Περιοχή
    Σταμάτα
    Μηνύματα
    980
    Downloads
    2
    Uploads
    0
    Τύπος
    FTTH
    Ταχύτητα
    2* FTTH 1000/100 Cosmote
    ISP
    Cosmote
    Router
    2* Fritz 5530 Fiber-Asus
    SNR / Attn
    -15(dB) / -15(dB)
    Path Level
    Fastpath
    Παράθεση Αρχικό μήνυμα από globalnoise Εμφάνιση μηνυμάτων
    Είμαι σίγουρος πως τα VIP μέλη της Ξαϊόμι Μαϊογιούι Ελλάς θα λάβουν ενημέρωση που θα τους θωρακίζει από αυτόν τον κίνδυνο.
    Για τα αντίστοιχα της Samsung απαιτείται λογικά η συνδρομή Bixby Fanboy ε;

Tags για αυτό το Θέμα

Bookmarks

Bookmarks

Δικαιώματα - Επιλογές

  • Δεν μπορείτε να δημοσιεύσετε νέα θέματα
  • Δεν μπορείτε να δημοσιεύσετε νέα μηνύματα
  • Δεν μπορείτε να αναρτήσετε συνημμένα
  • Δεν μπορείτε να επεξεργαστείτε τα μηνύματα σας
  •  
  • Τα BB code είναι σε λειτουργία
  • Τα Smilies είναι σε λειτουργία
  • Το [IMG] είναι σε λειτουργία
  • Το [VIDEO] είναι σε λειτουργία
  • Το HTML είναι εκτός λειτουργίας