Megjelent a legújabb véget nem érő Android biztonsági történet, és ezúttal arról szól, hogy mit érhet el egy alkalmazás, ha nem engedélyezi. (Más szóval, amit az összes alkalmazás láthat, ha nem kívánja meg a normál funkcionalitású alkalmazások egyikét sem.) Egyesek ezt úgy teszik, hogy ne kelljen aggódniuk, mások arra törekszenek, hogy kárhoztassák a világot a legnépszerűbb mobiltelefon-operációs rendszer, de a legmegfelelőbbnek azt magyarázza, hogy mi történik.
A biztonsági kutatók egy csoportja olyan alkalmazás létrehozására törekedett, amely nem engedélyezi a hozzáférést, hogy pontosan megtudja, milyen információk származhatnak ki az futó Android-rendszertől. Ilyen dolgot csinálnak minden nap, és minél népszerűbb a cél, annál több ember néz rá. Valójában azt akarjuk, hogy ilyen dolgok megtörténjenek, és az emberek időről időre találnak olyan dolgokat, amelyek kritikusak és javításra szorulnak. Mindenki számára előnyös.
Ezúttal azt tapasztalták, hogy egy (nem mint nada, zilch) engedély nélküli alkalmazás három nagyon érdekes dolgot csinálhat. Egyik sem komoly, de érdemes kicsit átnézni. Az SD-kártyával kezdjük.
Bármely alkalmazás képes olvasni az adatokat az SD-kártyán. Mindig így volt, és mindig így lesz. (Az SD-kártyára történő íráshoz engedélyre van szükség.) Segédprogramok állnak rendelkezésre biztonságos, rejtett mappák létrehozásához és más alkalmazásokkal szembeni védelméhez, de alapértelmezés szerint az SD-kártyára írt adatok minden alkalmazás számára elérhetők. Ez a tervezés célja, mivel azt akarjuk, hogy számítógépünk hozzáférhessen az összes megosztható partíciókon (például SD-kártyákon) lévő összes adathoz, amikor bedugjuk őket. Az Android újabb verziói eltérő particionálási módszert és eltérő módszert használnak az elosztó adatok megosztására. ettől, de aztán mindannyian belekapaszkodunk az MTP használatába. (Hacsak nem vagy Phil, de ő is kissé szereti az MTP-t.) Ez egy egyszerű javítás - ne tegyen érzékeny adatokat az SD-kártyára. Ne használjon olyan alkalmazásokat, amelyek érzékeny adatokat helyeznek az SD-kártyára. Ezután hagyja abba az aggodalmat, hogy a programok látni tudják azokat az adatokat, amelyeket állítólag képesek látni.
A következő dolog, amit találtak, igazán érdekes, ha gerek vagy - egy kifejezett engedély nélkül elolvashatja a /data/system/packages.list fájlt. Ez önmagában nem jelent fenyegetést, de annak ismerete, hogy milyen alkalmazásokat telepített a felhasználó, nagyszerű módja annak, hogy megtudja, mi hasznos lehet a telefon vagy táblagép veszélyeztetése szempontjából. Gondolj más alkalmazások sebezhetőségére - a kutatók a Skype példát használják. Ha tudod, hogy létezik egy kizsákmányolás, akkor a támadó megpróbálhatja megcélozni. Érdemes megemlíteni, hogy egy ismert, nem biztonságos alkalmazás célzásához valószínűleg bizonyos engedélyekre van szükség ehhez. (És azt is érdemes emlékeztetni az emberekre, hogy a Skype gyorsan felismerte és kijavította engedélyezési kérdését.)
Végül rájöttek, hogy a / proc könyvtár kevés adatot szolgáltat lekérdezéskor. Példa azt mutatja, hogy elolvashatják az Android ID, a kernel verziót és a ROM verziót. Sokkal több megtalálható a / proc könyvtárban, de nem szabad elfelejtenünk, hogy a / proc nem egy igazi fájlrendszer. Nézze meg sajátját a root explorer segítségével - tele van 0 bájtos fájlokkal, amelyeket futás közben hoznak létre, és arra tervezték, hogy az alkalmazások és szoftverek kommunikálhassanak a futó kerneltel. Itt nincs tárolva valódi érzékeny adatok, és mindezt törli és újraírja, amikor a telefon áramellátási ciklusra kerül. Ha attól tart, hogy valaki megtalálhatja a kernel verzióját vagy a 16 számjegyű Android ID-jét, továbbra is fennáll annak akadálya, hogy ezeket az információkat bárhová elküldje, kifejezett internetes engedély nélkül.
Örülünk, hogy az emberek mélyrehatóan keresik ezeket a kérdéseket, és bár ezek komoly meghatározás nélkül nem kritikusak, jó, ha a Google tudatában van rájuk. Az ilyen munkát végző kutatók csak biztonságosabbá és jobbá tehetik a dolgokat mindannyiunk számára. Hangsúlyoznunk kell azt a tényt, hogy a Leviathan-i társak nem beszélnek végzetről és komorról, hanem csak tényeket mutatnak be hasznos módon - a végzet és a sötétség külső forrásokból származik.
Forrás: Leviathan Security Group
