Tartalomjegyzék:
- Mi a sérülékenység, és miért olyan rossz?
- Hogyan tudja megbizonyosodni arról, hogy biztonságban vagy?
- Amit megtanultunk ebből a folyamatból
A Google nemrégiben nyilvánosan nyilvánosságra hozta, hogy rendkívül súlyos sebezhetőséget fedez fel az Epic első Fortnite Android-telepítőjében, amely lehetővé tette a telefon bármely alkalmazásának bármilyen letöltését és telepítését a háttérben, beleértve a teljes engedélyekkel rendelkező alkalmazásokat is, a felhasználó tudta nélkül. A Google biztonsági csapata először augusztus 15-én nyilvánosságra hozta a sebezhetőséget az Epic Games számára, és azóta nyilvánosságra hozta az információkat, miután az Epic megerősítette, hogy a biztonsági rés javítva volt.
Röviden: pontosan ez volt az a kizsákmányolás, amelyet az Android Central és mások attól tartottak, hogy ez a fajta telepítőrendszer előfordulhat. Itt van, amit tudnia kell a sérülékenységről, és arról, hogy miként lehetne biztosítani a biztonságos továbblépést.
Mi a sérülékenység, és miért olyan rossz?
Amikor elindul a "Fortnite" letöltésére, akkor nem egészen tölti le az egész játékot, először a Fortnite Installer programot tölti le. A Fortnite Installer egy egyszerű alkalmazás, amelyet letölt és telepít, majd később a teljes Fortnite játékot letölti közvetlenül az Epic-ről.
A Fortnite Installer könnyen kihasználható volt, hogy eltérítsék a teljes játék letöltésének kérését.
A probléma, amint a Google biztonsági csapata felfedezte, az volt, hogy a Fortnite Installer nagyon könnyen kihasználható volt, hogy eltérítse a Fortnite letöltésének kérését az Epicről, és bármit letölthessen , amikor megérinti a gombot a játék letöltéséhez. Ez az úgynevezett "ember-a-lemezen" támadás: a telefonod alkalmazásai keresnek valamit az internetről letöltési kérelmekre, és elfogják azokat, amelyek ehelyett valami más letöltését kérik, ismeretlenül az eredeti letöltőalkalmazáshoz. Ez pusztán azért lehetséges, mert a Fortnite Installer nem megfelelő módon lett megtervezve - a Fortnite Installernek fogalma sincs arról, hogy csak megkönnyítette a rosszindulatú programok letöltését, és az „indítás” megérintésével akár el is indíthatja a rosszindulatú programokat.
A kizsákmányolás érdekében telepítenie kell egy alkalmazást a telefonjára, amely ilyen biztonsági rést keresett - de tekintettel a Fortnite népszerűségére és a kiadás előrejelzésére, nagyon valószínű, hogy vannak olyan kellemetlen alkalmazások, amelyek éppen ezt csinálja. A telefonokba telepített rosszindulatú alkalmazások sokszor nem használnak egyetlen kihasználást, teljes hasznos teherük tele van számos ismert biztonsági réssel, és ilyen típusú támadás lehet az egyik.
Egyetlen érintéssel letölthet egy rosszindulatú alkalmazást, amely teljes engedélyekkel rendelkezik és hozzáféréssel rendelkezik a telefon összes adatához.
Itt vannak a dolgok nagyon rosszul. Az Android engedélyezési modelljének működése miatt nem kell elfogadnia egy alkalmazás telepítését "ismeretlen forrásokból" azon időn túl, amikor elfogadta a telepítést a Fortnite számára. Mivel ez a kizsákmányolás működik, a telepítési folyamat során nincs arra utaló jel, hogy a Fortnite-től eltérő információt tölt le (és a Fortnite Installernek sincs tudása), míg a háttérben egy teljesen más alkalmazás van telepítve. Mindez történik az alkalmazás telepítésének várható folyamatán belül a Fortnite Installer alkalmazásából - elfogadja a telepítést, mert úgy gondolja, hogy telepíti a játékot. Különösen a Samsung telefonokon, amelyek az alkalmazást a Galaxy Apps-től kapják meg, a helyzet kissé rosszabb: még az első ismeretlen forrásokból sem engedélyezik a felszólítást, mert a Galaxy Apps ismert forrás. Ha tovább megyünk, az éppen csendesen telepített alkalmazás kijelentheti és megkaphat minden lehetséges engedélyt az Ön további hozzájárulása nélkül. Nem számít, van-e telefonod Android Lollipop vagy Android Pie-vel, vagy kikapcsolta-e az "ismeretlen forrásokat" a Fortnite Installer telepítése után - amint telepítette, potenciálisan megtámadhat.
A Google Issue Tracker oldalán a kizsákmányoláshoz gyors képernyőfelvétel található, amely megmutatja, hogy a felhasználó milyen egyszerűen tudja letölteni és telepíteni a Fortnite Installer-t, ebben az esetben a Galaxy Apps Store-ból, és azt gondolja, hogy a Fortnite-t letöltik, miközben rosszindulatú programot töltöttek le és telepítettek. alkalmazás, teljes engedélyekkel - kamera, hely, mikrofon, SMS, tároló és telefon - "Fortnite". Néhány másodpercig tart, és nincs felhasználói interakció.
Igen, ez nagyon rossz.
Hogyan tudja megbizonyosodni arról, hogy biztonságban vagy?
Szerencsére az Epic gyorsan reagált a kizsákmányolás javítására. Epic szerint a kizsákmányolást kevesebb, mint 48 órán belül rögzítették az értesítés után, és minden korábban telepített Fortnite Telepítőre telepítették - a felhasználóknak egyszerűen frissíteniük kell a Telepítőt, amely egygombos ügy. A javítást hozó Fortnite Installer 2.1.0 verziója van, amelyről ellenőrizheti a Fortnite Installer indítását és annak beállításait. Ha bármilyen okból letöltötte a Fortnite Installer korábbi verzióját, akkor a Fortnite telepítése előtt megkérdezi a 2.1.0 (vagy újabb) telepítését.
Ha a 2.1.0 vagy újabb verziója van, akkor megóvja ezt a különleges biztonsági rést.
Az Epic Games nem hozott nyilvánosságra információt erről a sebezhetőségről azon kívül, hogy megerősítette volna, hogy a javítóprogramot a telepítő 2.1.0-s verziójában javították ki, tehát nem tudjuk, vajon a természetben való aktív kizsákmányolásra került-e. Ha a Fortnite Installer naprakész, de továbbra is aggódik amiatt, hogy érintette-e ez a biztonsági rés, eltávolíthatja a Fortnite-t és a Fortnite Installer-t, majd ismételje meg a telepítési folyamatot, hogy megbizonyosodjon arról, hogy a Fortnite telepítése törvényes-e. A Google Play Protect segítségével ellenőrzést is végezhet (és meg is kellene), hogy remélhetőleg azonosítson minden rosszindulatú szoftvert, ha telepítve lett.
A Google szóvivője a következő megjegyzést fűzte a helyzethez:
A felhasználói biztonság a legfontosabb prioritás, és a rosszindulatú programok proaktív megfigyelésének részeként egy biztonsági rést fedeztünk fel a Fortnite telepítőjében. Azonnal értesítettük az Epic Games-t, és ők javították a problémát.
Az Epic Games Tim Sweeney vezérigazgató következő kommentárját nyújtotta be:
Az Epic őszintén nagyra értékelte a Google arra irányuló erőfeszítéseit, hogy az Android megjelenése után azonnal elvégezze a Fortnite alapos biztonsági ellenőrzését, és megosszák az eredményeket az Epic-szel, hogy gyorsan frissítést tudjunk kiadni a felfedezett hiba kijavításához.
A Google azonban felelőtlen volt, hogy ilyen gyorsan nyilvánosságra hozza a hiba technikai részleteit, bár sok telepítést még nem frissítettek, és még mindig veszélyeztettek.
Egy epikus biztonsági mérnök, sürgetve, kérte a Google-tól, hogy a tipikus 90 napra késleltesse a nyilvánosságra hozatalát, hogy a frissítés szélesebb körű telepítésre kerüljön. A Google megtagadta. Az összes elolvasható a https://issuetracker.google.com/issues/112630336 oldalon
A Google biztonsági elemzésének erőfeszítéseit nagyra értékelik, és az az az Android platformon haszonnal jár, ugyanakkor egy olyan hatalmas társaságnak, mint a Google, felelõsebb felelõsséggel kell közzétennie a közzétételi idõt, és nem szabad veszélyeztetnie a felhasználókat PR-elleni erõfeszítései során az Epic által a Fortnite Google Playen kívüli terjesztése ellen.
Lehet, hogy a Google ugrott a cápára az Epic fejében, de ez a cselekvés egyértelműen követte a Google irányelveit a 0day sebezhetőség felfedésére.
Amit megtanultunk ebből a folyamatból
Megismétlem valamit, amelyet az Android Centralon évek óta mondtak: Hihetetlenül fontos, hogy csak olyan alkalmazásokat telepítsen, amelyek megbízható cégektől és fejlesztőktől származnak. Ennek a kizsákmányolásnak - akármennyire is - még mindig szükség van a Fortnite Installer telepítésére és egy másik rosszindulatú alkalmazás telepítésére is, amely a kártékonyabb kártevőprogramok letöltését kéri. A Fortnite hatalmas népszerűsége miatt nagy a esély arra, hogy ezek a körök átfedésben legyenek, de ennek nem kell megtörténnie veled.
Pontosan ez a sérülékenység voltunk aggódva, és ez történt az első napon.
A Fortnite a Play Áruházon kívüli telepítésével kapcsolatos döntés kezdetétől az egyik aggodalmunk volt az, hogy a játék népszerűsége elnyomja az emberek általános józan észét, hogy alkalmazásukhoz ragaszkodjanak a Play Áruházba. Ez a fajta sebezhetőség, amely valószínűleg belekerül a Play Áruházba való belépés áttekintési folyamatába, és amelyet még mielőtt nagyszámú ember letöltené. És a telefonon a Google Play Protect használatával a Google távolról képes lesz megölni és eltávolítani az alkalmazást, ha valaha is vadonba kerül.
A Google a maga részéről továbbra is sikerült megszereznie ezt a sebezhetőséget, annak ellenére, hogy az alkalmazást nem a Play Áruházban terjesztik. Már tudjuk, hogy a Google Play Protect képes beolvasni a telefonján található alkalmazásokat, még akkor is, ha közvetlenül az internetről vagy egy másik alkalmazásboltból telepítették őket, és ebben az esetben ezt a folyamatot egy tehetséges Google biztonsági csapat támogatta, amely felfedezte a sebezhetőséget, és jelentette azt a fejlesztőnek. Ez a folyamat általában a háttérben zajlik nagy rajongás nélkül, de amikor egy olyan alkalmazásról beszélünk, mint például a Fortnite, amelynek valószínűleg több tízmilliós telepítése van, akkor ez megmutatja, mennyire komolyan veszi a Google az Android biztonságát.
Frissítés: Ezt a cikket frissítették egyértelmű információkkal a kizsákmányolásról, valamint az Epic Games vezérigazgatója, Tim Sweeney hozzászólásával.
