Ką daryti, jei įsilaužėliai galėtų paimti esamą teisėtą programą arba atnaujinti su galiojančiu skaitmeniniu parašu ir modifikuokite jį, kad galėtumėte naudoti kaip kenkėjišką Trojos arklį, kad pasiektumėte viską, kas yra jūsų Android telefone arba tablėtė? Kai paskambino tyrėjai iš mobiliojo saugumo startuolio Atskleidė „Bluebox Security“. kad jie nustatė būtent tokį pažeidžiamumą, kuris paveikė „99 procentus“ „Android“ įrenginių, jis pateko į technologijų antraštes visame internete. Bet ar turėtumėte nerimauti?
Kokia problema?
„Šis pažeidžiamumas, bent jau nuo „Android 1.6“ (kodinis pavadinimas „Donut“) išleidimo, gali paveikti bet kurį „Android“ telefoną, išleistą per pastaruosius 4 metus“, – paaiškino Jeffas Forristalas, „Bluebox“ techninis vadovas. paskelbti įmonės tinklaraštyje. Jis pridūrė, kad „... įsilaužėlis gali išnaudoti pažeidžiamumą bet kam – nuo duomenų vagystės iki mobiliojo botneto sukūrimo“.
Rekomenduojami vaizdo įrašai
APK arba „Android“ programų paketo failams kyla pavojus, nes ši klaida leidžia įsilaužėliams pakeisti teisėtą programą arba naujinimą, tačiau išsaugoti skaitmeninį parašą, patvirtinantį, kad jis yra saugus. Jie gali sukurti netikrą programą, kad pavogtų jūsų slaptažodžius ir naudotų teisėtą skaitmeninį parašą, kad jūsų Android telefonas manytų, kad jį sukūrė tokia įmonė kaip Samsung, HTC ar net pati Google. Įrenginių gamintojai ir patikimi partneriai gamina programas su privilegijuota prieiga prie jūsų „Android“ sistemos, todėl rizika, kad į jūsų telefoną atsidurs kenkėjiška programa, yra labai rimta.
Susijęs
- 5 dalykai, kuriuos norėtume pamatyti „Google I/O 2023“ (bet tikriausiai to nepamatys)
- Atsipalaiduokite, baisi ES USB-C taisyklė neatims greito įkrovimo pranašumų
- Geriausios „Android“ skirtos skelbimų blokavimo programos 2022 m
Kas dėl to daroma?
„Bluebox“ atskleidė „Android“ saugos klaidą 8219321 „Google“ dar 2013 m. vasario mėn. „Google“ jau atnaujino „Play“ parduotuvę, kad būtų patikrintos visos kenkėjiškos programos, naudojantys šį išnaudojimą. „Google“ pasidalijo klaida su savo aparatinės įrangos partneriais „Open Handset Alliance“, o kai kurie gamintojai jau išleido pataisas, kad išspręstų šią saugos problemą.
Kaip išvengti kenkėjiškų programų?
Jei esate atsargūs, kad niekada nepaliktumėte telefono be priežiūros ir diegiate tik programas ir naujinimus iš „Google Play“ nėra jokios priežasties nerimauti, nes jums tai tikrai negresia išnaudoti. Jei norite įsitikinti, kad nesate paveikti, eikite į Nustatymai > Sauga ir įsitikinkite, kad nepažymėtas laukelis leisti įdiegti iš nežinomų šaltinių.
Mes aptarėme „Android“ programos saugos pagrindai anksčiau ir jie vis dar taikomi. Dabar nusikaltėliai negali naudotis „Google Play“ parduotuve kenkėjiškoms programoms platinti naudodami šį išnaudojimą, todėl dabar saugu atsisiųsti programas. Turėtumėte vengti įdiegti programas ar naujinimus iš kitų šaltinių – net „Samsung“ ar „Amazon“ programų parduotuvių – bent jau kol kas. Trečiųjų šalių „Android“ programų parduotuvės ir tiesioginės nuorodos svetainėse yra labiausiai tikėtini pristatymo būdai, tačiau kenkėjiška programa el. paštu arba net perkelti į įrenginį per USB kabelį (jei telefoną prijungiate prie savo kompiuteris).
„Pagrindinė kenkėjiškų programų platinimo „Android“ problema yra priversti vartotoją atsisiųsti ir įdiegti ką nors iš nesaugių šaltinių. (tam tikrose trečiųjų šalių rinkose arba tiesiogiai iš žiniatinklio),“ – Maikas Morgensternas iš nepriklausomo saugumo instituto „AV-Test“, mums paaiškino. „Praneštas pažeidžiamumas niekaip nepadeda kenkėjiškų programų autoriams. Jiems vis tiek būtų sunku gauti savo kūrinius „Google Play“ parduotuvėje ir net jei jiems pasiseks, jų programos, žinoma, nebūtų įtrauktos į pradinio autoriaus paskyrą. [Pavyzdžiui], jei jie sukuria trojanizuotą versiją Pikti paukščiai, jis būtų nurodytas kaip kenkėjiškų programų autorių vardas, o ne „Rovio“. Taigi vartotojai vargu ar sukluptų dėl šių trojaniškų programų. Jei vartotojai atsisiunčia programas tik iš „Google Play“ parduotuvės, jie turėtų būti saugūs.
Taigi, ar galiu atsipalaiduoti?
„Android“ problema yra ta, kad „Google“ gali imtis veiksmų, kad ištaisytų trūkumus ir įsilaužimo išnaudojimus, tačiau ji negali įdiegti visos sistemos atnaujinimo.
„Pagrindinė problema yra daugelio gamintojų atnaujinimo politika“, – mums sakė Morgensternas. „Seni įrenginiai nebegauna naujinimų (todėl šie įrenginiai išliks pažeidžiami) ir net naujų įrenginių atnaujinimas gali užtrukti mėnesius.
Atskiri gamintojai ir mobiliojo ryšio operatoriai (AT&T, „Verizon“, „T-Mobile“, „Sprint“ ir t. t.) turi pateikti naujinimus įrenginiams. Įprasta, kad senesni „Android“ įrenginiai paliekami. Jei turite senesnį įrenginį, kuriam gresia pavojus, ir esate nepatenkintas prisijungęs prie „Google Play“, kurį laiką galite būti paveiktas.
Atnaujinimas 2013-09-07: Bluebox patarimai
Po šio straipsnio paskelbimo „Bluebox“ susisiekė su mumis. Jie ragina vartotojus, kad geriausias būdas sumažinti šio pažeidžiamumo riziką yra „Pasitikrinkite įrenginio gamintoją arba mobiliojo ryšio operatorių dėl savo konkretaus Android įrenginio modelio. ir OS versija, kad pamatytumėte, ar buvo prieinamas naujausias naujinimas / pataisymas. Jie taip pat nurodo, kad jums gali tekti patikrinti laidos pastabas, kad patvirtintumėte, jog pataisymas yra įtrauktas atnaujinti. Jei nerandate savo įrenginiui skirto, jie siūlo šiuo metu vengti nieko įdiegti iš ne „Google Play“.
„Bluebox“ technologijų vadovas Jeffas Forristalis savo pokalbyje planuoja paskelbti technines šios problemos detales Black Hat USA 2013 m mėnesio pabaigoje. Belieka laukti, kaip reaguos pagrindiniai „Android“ įrenginių pardavėjai. Mes jus informuosime.
Straipsnis iš pradžių paskelbtas 2013-07-08.
Redaktorių rekomendacijos
- Nepraleiskite progos įsigyti šį Lenovo Android planšetinį kompiuterį už 120 USD
- Nepatikėsite, koks pigus šis „iPad“ dėl „Cyber Monday“.
- „Google“ nori, kad žinotumėte, jog „Android“ programos nebėra skirtos tik telefonams
- Geriausias dalykas, susijęs su „Android 13“, nėra nauja funkcija ar nustatymas – tai kažkas kita
- Belaidis įkrovimas neveikia „Pixel“ su „Android 13“? Jūs nesate vieni
Atnaujinkite savo gyvenimo būdąSkaitmeninės tendencijos padeda skaitytojams stebėti sparčiai besivystantį technologijų pasaulį, kuriame pateikiamos visos naujausios naujienos, smagios produktų apžvalgos, įžvalgūs vedamieji leidiniai ir unikalūs žvilgsniai.
