Video: Official RISK game for mobile on Google Play (Decembris 2024)
Android operētājsistēmas ievainojamība ļauj uzbrucējiem uzņemt esošo lietotni, ievadīt ļaunprātīgu kodu un pārsaiņot to tā, lai tā varētu izlikties par sākotnējo lietotni. Vai jums vajadzētu uztraukties?
"Bluebox Security" pētnieki atklāja trūkumu, kā tiek pārbaudīti lietotņu kriptogrāfijas paraksti. Uzņēmuma emuārā 3. jūlijā rakstīja "Bluebox" CTO pārstāvis Džefs Forristāls. Tas nozīmē, ka uzbrucēji varēja modificēt lietotni, nemainot tās kriptogrāfisko parakstu, sacīja Forristal.
Nepilnība pastāv jau kopš operētājsistēmas Android 1.6 ("Donut") un padarīja "99 procentus" ierīču vai "jebkuru Android tālruni, kas izlaists pēdējos četros gados", neaizsargātu pret uzbrukumu, apgalvoja Forristal.
Biedējošais scenārijs ir apmēram šāds: likumīga lietotne (piemēram, Google lietotne) tiek modificēta, lai nozagtu paroles vai savienotu ierīci ar robottīklu, un tiek izlaista lietotājiem lejupielādei. Tā kā abām lietotnēm ir vienāds digitālais paraksts, lietotājiem būs grūti uzzināt, kura ir īsta un kura ir viltota.
Nu, ne īsti.
Vai es esmu briesmās?
Google atjaunināja pakalpojumu Google Play, lai tiktu veiktas pārbaudes, lai bloķētu visas ļaunprātīgās lietotnes, kuras izmanto šo izmantošanu, lai maskētos kā cita lietotne.
Ja instalējat lietotnes un atjauninājumus no pakalpojuma Google Play, tad šī izmantošana jums nav pakļauta riskam, jo Google ir veicis pasākumus, lai nodrošinātu lietotņu tirgu. Ja lejupielādējat lietotnes no trešo pušu tirgiem, pat daļēji oficiāliem, piemēram, Samsung un Amazon lietotņu veikaliem, tad jūs esat pakļauts riskam. Pagaidām var būt vērts atturēties no šo tirgus vietu izmantošanas.
Google iesaka lietotājiem būt prom no trešo pušu Android lietotņu tirgiem.
Ko vēl es varu darīt?
Ir arī svarīgi atcerēties, ka vienmēr ir jāskatās, kurš ir izstrādātājs. Pat ja trojanizēta lietotne to veiks, izmantojot pakalpojumu Google Play, vai ja atrodaties citā lietotņu veikalā, lietotne netiks norādīta sākotnējā izstrādātāja sarakstā. Piemēram, ja uzbrucēji pārsaiņo Angry Birds, izmantojot šo ievainojamību, jaunā versija netiek uzskaitīta Rovio kontā.
Ja vēlaties pārliecināties, ka nevarat instalēt lietotnes no trešo pušu avotiem, dodieties uz Iestatījumi> Drošība un pārliecinieties, vai nav atzīmēta izvēles rūtiņa lietotņu instalēšanai no “nezināmiem avotiem”.
Ja jums ir jaunākā Android versija, tad jūs arī aizsargā iebūvētā lietotņu skenēšanas sistēma, jo tā skenē lietotnes, kas nāk no citiem avotiem, nevis Google Play. Tas nozīmē, ka pat tad, ja kļūdaini instalējat sliktu lietotni, tālrunis joprojām var bloķēt ļaunprātīgo kodu.
Android ierīcēm ir arī drošības lietotnes, kas var atklāt ļaunprātīgu rīcību un brīdināt par pārkāpēju lietotni. PCMag iesaka mūsu redaktoru izvēli Bitdefender Mobile Security.
Vai ir iespējams uzbrukums?
"Tikai tāpēc, ka" galvenā atslēga "vēl nav izmantota, nenozīmē, ka varam atpūsties uz mūsu lauriem, " portālam SecurityWatch sacīja Webroot drošības izlūkošanas direktors Greisons Milburns. Mobilajai drošībai vajadzētu būt par ierīces aizsardzību no visām pusēm - identitātes aizsardzību, lai aizsargātu paroles un citu personisko informāciju, bloķētu ļaunprātīgu programmatūru un ļaunprātīgas lietotnes, kā arī spētu atrast ierīci, ja tā tiek pazaudēta vai nozagta, sacīja Milbārs.
Bluebox februārī ziņoja par trūkumu Google, un Google jau ir izlicis plāksteri saviem aparatūras partneriem Open Handset Alliance. Vairāki klausules ražotāji jau ir izlaiduši ielāpus, lai novērstu šo problēmu. Pārvadātājiem tagad jāatstāj labojums to tiešajiem lietotājiem.
"Ierīču ražotāju pienākums ir ražot un izlaist mobilo ierīču programmaparatūras atjauninājumus (un turklāt lietotājiem instalēt šos atjauninājumus), " sacīja Forristal. Šī mēneša beigās Bluebox plāno atklāt vairāk informācijas Black Hat konferencē Lasvegasā.
Pau Oliva Fora, mobilās drošības kompānijas viaForensics inženieris, 8. jūlijā ievietoja koncepcijas pierādījumu, kas izmanto ievainojamību. Fora izveidoja čaulas skriptu, izlasot sīkas ziņas par kļūdu, ko ievietojusi Cyanogenmod komanda. Cyanogenmod ir populāra Android versija, kuru lietotāji var instalēt savās ierīcēs. Komanda jau ir novērsusi trūkumus.
Ja esat viens no laimīgākajiem lietotājiem, kuri saņem Android atjauninājumu no jūsu mobilo sakaru operatora, noteikti lejupielādējiet un instalējiet to tūlīt. Pat ja riski ir zemi, OS atjaunināšana ir vienkārši laba drošības izpratne.
