Πρόβλημα στο Android αφήνει το 99% των συσκευών εκτεθειμένες σε χακερ

[NeK]

Η Bluebox, εταιρεία ασφάλειας κινητών, ανακάλυψε ένα πρόβλημα ασφαλείας στο Android, που υπάρχει σε όλες τις συσκευές που βγήκαν τα τελευταία τέσσερα χρόνια. Η μέθοδος που παρουσιάστηκε, επέτρεψε στο να αλλαχθεί ο κώδικας κάποιου app, χωρίς να αλλάζει η κρυπτογραφική υπογραφή του, προσθέτοντας έτσι κακόβουλο κώδικα χωρίς να γίνεται αντιληπτό. Με αυτό τον τρόπο, μπορεί κάποιος χάκερ να κάνει τα πάντα, από υποκλοπή προσωπικών δεδομένων, μέχρι την δημιουργία μεγάλων botnets.

Αν και δεν αποκαλύφθηκαν λεπτομέρειες, το κύριο πρόβλημα βρίσκεται σε ασυνέπειες στο πως οι εφαρμογές του Android πιστοποιούνται και εγκαθιστούνται. Όπως εξηγεί η Bluebox, όλα τα Android apps περιέχουν κρυπτογραφικές υπογραφές για την πιστοποίηση της αυθεντικότητάς τους. Όμως, χρησιμοποιώντας ένα "master key", οι κακόβουλοι χάκερ μπορούν να "ξεγελάσουν" το Android, στο να πιστεύει ότι ένα app είναι αμετάβλητο ακόμα και αν ο κώδικας του APK αρχείου του έχει αλλαχθεί.

Η "τρύπα" αυτή, αναφέρεται ότι υπάρχει από την κυκλοφορία του Android 1.6 (2009) και ότι η Google έχει ενημερωθεί για αυτήν από το Φεβρουάριο. Όμως, ο τρόπος με τον οποίο λειτουργούν οι ενημερώσεις του Android, αφήνει την ευθύνη στους κατασκευαστές, για να δημιουργήσουν και να κυκλοφορήσουν ένα ενημερωμένο firmware για τις συσκευές τους και έτσι μέχρι τώρα μόνο το Galaxy S 4 έχει ενημερωθεί για αυτή τη τρύπα.

Ως απόδειξη της ύπαρξης αυτής της "τρύπας" ασφαλείας, ο Jeff Forristal, Διευθυντής Τεχνολογίας της Bluebox, έβγαλε ένα screenshot από την HTC συσκευή του, που έδειχνε την οθόνη πληροφοριών του Android και στο Baseband Version έχει την λέξη "Bluebox", μία τιμή που ελέγχεται αποκλειστικά από το λειτουργικό σύστημα.

Θα δώσει τεχνικές λεπτομέρειες και σχετικά εργαλεία κατά την διάρκεια της ομιλίας του στο BlackHat USA 2013, που θα γίνει στο τέλος του μήνα.

Αξίζει να σημειωθεί ότι παρά την όλη την καταστροφή που μιλάει η Bluebox, που φαίνεται ότι είναι όντως ένα σοβαρό και σημαντικό ζήτημα, για να πέσει κανείς θύμα, θα πρέπει να κατεβάσει ένα app που έχει αλλαχθεί ο κώδικάς του με κακόβουλο κώδικα. Με λίγα λόγια, απαιτείται ενέργεια από τον χρήστη και πολύ πιθανών κατέβασμα από ανεπίσημες πηγές.

Πηγή: Techspot

[DSLaManiaC]

What’s more, CIO reports that Google has patched its own Play Store so that it can recognize when app updates have been tampered with.

Google banned Play Store apps from updating outside the Play Store update mechanisms a couple of months after Bluebox told it about the vulnerability. If it has also fixed its Play Store security mechanisms, that should keep most users safe.

Οπότε καταλήγουμε πάλι στο ίδιο: Αν βάζεις εφαρμογές εκτός store, παίρνεις το ρίσκο.

[Lagman]

Οι περισσότεροι android χρήστες που γνωρίζω κατεβάζουν εφαρμογές απο 3rd party... Κάποιος είχε πει: once you go black you never go back lol


http://gigaom.com/2013/07/04/heres-w...-android-flaw/

[DSLaManiaC]

Οι περισσότεροι android χρήστες που γνωρίζω κατεβάζουν εφαρμογές απο 3rd party... Κάποιος είχε πει: once you go black you never go back lol


http://gigaom.com/2013/07/04/heres-w...-android-flaw/

Αν κατεβάσεις από 3rd party προφανώς και μπορείς να πάθεις τα ίδια ανεξαρτήτως του flaw.

[Gordito]

Κανας ερευνητης θα δωσει καμια τρυπα για το android ή ολες θα τις ξεμπροστιαζουν εταιριες ασφαλειας;

[blade_]

απο τι διαβασα αλλου,ειναι νεοσυστατη η εταιρεια..με οτι συνεπαγεται αυτο..

[nnn]

1st το one του είναι rooted, άρα έχει την δυνατότητα να πάρει από το RUU της HTC το radio να το "πειράξει" και να το φλασάρει πίσω, με αποτέλεσμα να γράφει ότι θέλει στο Baseband, τα υπόλοιπα είναι μπας και πουλήσουμε καμιά μετοχούλα


έχω 45 γνωστούς με iPhone που κατεβάζουν από Cydia και έχουν βγάλει τρίχες στις παλάμες τους

[psyxakias]

Κάποιος είχε πει: once you go black you never go back lol

Εγώ και η Τζούλια; (για διαφορετικούς λόγους ελπίζω!)

[georgemv]

1st το one του είναι rooted, άρα έχει την δυνατότητα να πάρει από το RUU της HTC το radio να το "πειράξει" και να το φλασάρει πίσω, με αποτέλεσμα να γράφει ότι θέλει στο Baseband, τα υπόλοιπα είναι μπας και πουλήσουμε καμιά μετοχούλα


έχω 45 γνωστούς με iPhone που κατεβάζουν από Cydia και έχουν βγάλει τρίχες στις παλάμες τους

Το baseband είναι crypto signed και ελέγχεται από τον bootloader. Δύσκολο να πειράξεις το baseband.

[aroutis]

Οι περισσότεροι android χρήστες που γνωρίζω κατεβάζουν εφαρμογές απο 3rd party... Κάποιος είχε πει: once you go black you never go back lol


http://gigaom.com/2013/07/04/heres-w...-android-flaw/

Amazing argument (sorry, no greek keyboard here!)

[nnn]

Το baseband είναι crypto signed και ελέγχεται από τον bootloader. Δύσκολο να πειράξεις το baseband.

Με S-Off μπορείς.

[Spanos]

Σιγά και τι έγινε, απο το να δώσω 200€ για εφαρμογές gps και διάφορα αλλα προτιμώ το ρίσκο. Έτσι και αλλιώς επαφές, εμαιλ κωδικοί δικτύων και όλα είναι στο σύννεφο της Google, της MS και της NSA οπότε...

[senkradvii]

99% ε; Νοt bad. Not bad at all..

[Artemius]

εχουμε δει και πιο διασκεδαστικες σαχλαμαρες απο την καθε Bluebox του κοσμου.

ας πανε να φτιαξουν κατι πρωτα και μετα να πουλησουν.

ή ας μας δειξει πρωτα ο καθε κυριος Forristal,σε non-rooted συσκευη (ή ακόμα και σε rooted,γτ οχι) προβλημα ασφαλειας που θα στοχευει κατευθειαν στο λειτουργικο και θα κανει σιωπηλο πληρες take-over.

σε παραλληλισμο,αυτη τη στιγμη αυτο που εχει δειξει ειναι οτι σε υπολογιστη με super user/admin rights account,αν εγκαταστησεις malware ο ιδιος,τοτε μπορει να μεταβαλλεται ο malware κωδικας εντος της εφαρμογης/προγραμματος χωρις να παρει πρεφα το UAC.
gtfo,αυτος επανεφηυρε τον τροχο να ουμε...

η διαφορα ειναι οτι στο pc ειναι απειρως ευκολοτερο,αντιθετως -ευτυχως- το android δεν ειναι σουρωτηρι...



υ.γ. : τα smartphones δεν ειναι για dumb users. και μετα αναρωτιεστε/-ιομαστε,γτ π.χ. δεν ερχονται rooted οι συσκευες απο τους κατασκευαστες. μα το ιδιο χαιβανόχάιβανο που μπαινει με admin account απο το pc του σε καθε πορνοσαιτ και παταει καθε banneraki,δεν θα εχει smartphone?

[Lagman]

Αλλη μια αρνητική είδηση για το android.