Értelme a legújabb android „mesterkulcs” biztonsági rémületről

Nincs centrifugálás, semmi szar, csak tiszta, egyszerű beszélgetés arról, hogy mi folyik itt

Valódi beszélgetés erről a kihasználásról, amelyet a Bluebox biztonsági csapata felfedezett. Az első dolog, amit tudnod kell, hogy valószínűleg érintett. Ez egy olyan kihasználás, amely minden olyan eszközön működik, amelyet az Android 1.6 óta nem javítottak meg. Ha gyökerezik és ROM-okat küldtek telefonjára, ezt szabadon figyelmen kívül hagyhatja. Mindez nem számít számodra, mert egészen más biztonsági problémák vannak a gyökér és az egyedi ROM-okkal együtt, amelyek miatt aggódnia kell.

Ha még nincs bejelölve a hírhedt „Ismeretlen források” engedély mező, a beállításokban ez mindent sem jelent. Folytassa magát, és nyugodtan önelégülten önelégülten és önmagát illetően - megérdemli, hogy egész idő alatt kikerülje az oldalsó terhelést, ha valami hasonló történhet. Ha nem tudja, mit jelent ez, kérdezze meg valakit.

A többiek számára olvassa el a szünet után.

Több: IDG News Service.

Mi az?

Az Android-on lévő összes alkalmazás kriptográfiai kulcsmal van aláírva. Amikor ideje frissíteni az alkalmazást, az új verziónak ugyanolyan digitális aláírással kell rendelkeznie, mint a régi, különben nem fogja felülírni. Más szavakkal nem frissítheti. Nincsenek kivételek, és a fejlesztőknek, akik elveszítik az aláírási kulcsot, vadonatúj alkalmazást kell létrehozniuk, amelyet újra le kell töltenünk. Ez azt jelenti, hogy nulláról indul. Minden új letöltés, összes új értékelés és értékelés. Ez nem triviális ügy.

A rendszeralkalmazásoknak is - amelyek a telefonjára a HTC, a Samsung vagy a Google telepítették őket - szintén van kulcs. Ezeknek az alkalmazásoknak gyakran teljes adminisztrátori hozzáférése van a telefon mindenjéhez, mert a gyártó megbízható alkalmazásai. De ők továbbra is csak alkalmazások.

Még mindig követ engem?

Most arról beszélünk, amiről a Bluebox beszél, egy módszer, amellyel el lehet nyitni egy Android alkalmazást, és megváltoztatni a kódot a kriptográfiai kulcs megzavarása nélkül. Felvidítunk, amikor a hackerek elkerülnek a reteszelt betöltőket, és ez ugyanaz a kizsákmányolás. Ha bezár valamit, mások megtalálják a módját, ha elég erősen próbálnak. És amikor a platformod a legnépszerűbb a bolygón, az emberek nagyon keményen próbálkoznak.

Tehát valaki elvehet egy rendszeralkalmazást egy telefonról. Csak húzza ki. Ezzel a kihasználással csúnya dolgok elvégzéséhez szerkeszthetők - új verziószámot kapnak, és újracsomagolják, miközben ugyanazt az érvényes aláíró kulcsot megtartják. Ezután potenciálisan telepítheti ezt az alkalmazást, ha túllépheti a meglévő másolatát, és most már van egy olyan alkalmazás, amely rossz dolgokra van tervezve, és teljes hozzáféréssel rendelkezik a teljes rendszeréhez. Az alkalmazás egész idő alatt normálisan fog kinézni és viselkedni - soha nem fogja tudni, hogy valami halak zajlanak.

Yikes.

Mi történik vele?

A Bluebox emberei februárban elmondták erről az egész Open Handset Alliance-t. A Google és az OEM-ek felelősek a dolgok javításáért annak megelőzése érdekében. A Samsung a Galaxy S4 készülékkel tette meg a részét, de minden más általuk eladott telefon sebezhető. A HTC és az One nem végezte el a vágást, tehát a HTC összes telefonja sebezhető. Valójában a Samsung Touchwiz Galaxy S4 verzió kivételével minden telefon sebezhető.

A Google még nem frissítette az Android-ot, hogy javítsa ezt a problémát. Gondolom, keményen dolgoznak rajta - lásd a Chainfire problémáit, amelyek az Android 4.3 gyökeresedésén mentek keresztül. De a Google nem ült tétlenül, és azt sem hagyta figyelmen kívül. A Google Play áruház „javítva” volt, így nem módosított alkalmazások nem tölthetők fel a Google szervereire. Ez azt jelenti, hogy minden alkalmazás, amelyet letölt a Google Playről, tiszta - legalábbis az adott kihasználás szempontjából. De olyan helyek, mint az Amazon, a Slide Me és természetesen azok a repedt APK-fórumok, amelyek mindenki számára nyitva vannak, minden alkalmazás rossz JuJu-t tartalmazhat.

Szóval ez egy igazán nagy ügy?

Igen, ez óriási üzlet. És ugyanakkor nem, valójában nem.

A Google javítja azt, ahogyan az Android frissíti az alkalmazásokat, vagy az aláírásukat. Ebben a macska-egér játékban ez normális jelenség. A Google kiadja a szoftvert, a hackerek (mind a jó, mind a rossz fajta) megpróbálják kihasználni azt, és amikor ezt megteszik, a Google megváltoztatja a kódot. Így működik a szoftver, és ez a fajta dolog elvárható, ha elegendő okos ember van, aki megpróbál betörni.

Másrészt előfordulhat, hogy a most használt telefon soha nem fog látni frissítést a probléma javításához. A pokolba csaknem egy év telt el a Samsung számára, hogy javítsák a böngészőt egy olyan kizsákmányolás ellen, amely csak néhány telefonján törölheti az összes felhasználói adatot. Ha van olyan telefonja, amelyet várhatóan frissít az Android 4.3-ra, akkor valószínűleg javításra kerül. Ha nem, akkor senki sejti. Ez rossz - nagyon rossz. Nem próbálom a telefonjainkat embereket rabolni, de az igazság az igazság.

Mit tehetek?

• Ne töltsön le semmilyen alkalmazást a Google Playen kívül.
• Ne töltsön le semmilyen alkalmazást a Google Playen kívül.
• Ne töltsön le semmilyen alkalmazást a Google Playen kívül.
• Valójában folytassa és kapcsolja ki az Ismeretlen források engedélyt, ha úgy akarja. Én csináltam. Bármi más veszélyezteti téged. Néhány „víruskereső” alkalmazás ellenőrzi, hogy vannak-e ismeretlen források engedélyezve, ha nem biztos benne. Lépjen be a fórumokba, és derítse ki, melyik mindenki szerint a legjobb, ha kell.
• Fejezze ki elégedetlenségét azzal, hogy nem kap alapvető biztonsági frissítéseket a telefonjára. Különösen akkor, ha még mindig kétéves (vagy hároméves - hello hello!) Szerződést kötött.
• Gyakorolja a telefont, és telepítse a ROM-ot, amely valamilyen javítással rendelkezik - a népszerűek valószínűleg hamarosan bekapcsolódnak.

Tehát ne ess pánikba. De légy proaktív és használj valamilyen józan észt. Jelenleg egy nagyon jó idő a repedt alkalmazások telepítésének leállítására, mert a feltörést végző emberek ugyanolyan emberek, akik gonosz kódot helyezhetnek az alkalmazásba. Ha olyan frissítési értesítést kap, amely nem a Google Play helyről származik, mondja el valakinek. Mondja el nekünk, ha kell. Mutassa be azokat az embereket, akik megpróbálják átadni ezeket a kizsákmányolásokat, és adjon nekik egy nagy adagot a nyilvános szégyentelésnek és expozíciónak. A csótányok utálják a fényt.

Ez úgy megy, mint a biztonsági félelem mindig, de egy másik lép be, hogy kitöltse cipőjét. Ez a fenevad természete. Legyen biztonságos srácok.