Vyhodíme miliardu zařízení s Androidem do kanálu?
V Androidu se objevila poměrně závažná bezpečnostní chyba, která umožňuje ovládnout váš telefon zasláním MMS (o které vůbec nemusíte vědět, protože potom co získá přístup k vašemu telefonu se sama smaže). Mělo by to umět zapínat mikrofon, kameru, číst vaše kontakty, zprávy atd.
Chyba byla objevena přímo v jádru systému Android starající se o přehrávání multimediálního obsahu (jmenuje se "Stagefright"). Takže je velmi pravděpodobné, že je vyvolatelná i pouhou návštěvou zavirované internetové stránky. Uvidíme v příštích týdnech, kdy je několik významných konferencí, kde hackeři budou prezentovat výsledek svého výzkumu.
Každopádně teď to vypadá, že zranitelné jsou všechny verze od Androidu 2.1/2.2 až po nejnovější pětku. Což dělá právě těch asi 950 milionů zařízení. Teď se dostáváme k té zábavné části. V každém softwaru jsou chyby – a to dvojího druhu, ty, o kterých už víme a ty o kterých ještě nevíme. Proto tu jsou bezpečnostní aktualizace.
Na začátku vývoje a distribuce OS Android se dohodl Google (jako producent Androidu), že svůj operační systém poskytne výrobcům telefonů a ti si ho budou upravovat podle sebe. Tím došlo ke kouzelné situaci - a to té, že i když Google v Androidu chybu opraví, musí opravu ještě zapracovat váš výrobce telefonu a to pro každý svůj kdy vyrobený druh telefonu zvlášť (na rozdíl třeba od Apple, nebo Windows Phone, kteří distribuují bezpečnostní aktualizace pro všechny existující telefony s tímto OS). A to rozhodně není triviální operace.
Teď si udělejme mentální cvičení – kolik váš výrobce telefonu vydal aktualizací software vašeho telefonu? Bylo to vůbec někdy na telefon starší než rok? Jaká kvalita je takových updatů? Ajajaj.
Takže dost možná máte v ruce bezcenný kus nebezpečného hardware. A asi v tom nebudete sami.
Podle autorů výzkumu nevědí o tom, že by chyba byla již v praxi zneužita. Což je potřeba zase uvést do reality. Pokud objevíte zneužitelnou chybu v zařízení můžete udělat dvě věci – nahlásit ji autorovi (firmě) ať si jí opraví a pak ji třeba prezentovat na nějaké konferenci, nebo ji v tichosti prodat za velké peníze na černém trhu jiným "firmám", které třeba za úplatu zařizují nelegální sledování kohokoliv, píšou na míru viry atd. Pro ty je naopak stěžejní, aby se o chybě nikdo jiný nedozvěděl co nejdéle. Tudíž, že nevíte o tom, že by byla již zneužita v praxi nemusí znamenat vůbec nic. Navíc, když je ta chyba tam velmi dlouho.
Nakonec uvidíme, jak je daná chyba snadno či složitě zneužitelná. Pokud to půjde opravdu lehce, tak je asi zaděláno na celkem slušný průšvih a dvakrát bych si rozmyslel, jestli můj další telefon bude něco s Androidem. Nebo si budeme všichni hackovat telefony, číst zprávy a odposlouchávat se navzájem. Trošku mě to připomnělo legendární Novell login script:
If user = Administrator or Mates …
Zdroje:
(v odkazech je i nějaké info, jak se zatím provizorně bránit vypnutím automatického čtení příchozích MMS, jestli to bude ale do budoucna stačit, to ví čert).
https://www.svetandroida.cz/stagefright-oprava-nexus-201507
https://www.twilio.com/blog/2015/07/how-to-protect-your-android-device-from-stagefright-exploit.html
http://www.androidpolice.com/2015/07/27/vast-majority-of-android-devices-are-vulnerable-to-stagefright-exploit-that-can-be-executed-via-text-message-according-to-researchers/ Chyba má i pěkné vlastní logo, takže opět tématický obrázek:
tak to budou muset soudruzi z Google zamakat...
OdpovědětVymazatV.