Відео: Щенячий патруль НОВЫЕ СЕРИИ игра мультик для детей про щенков Paw Patrol Детский летсплей #ММ (Листопад 2024)
Одна з найкращих речей щодо мобільних операційних систем - це пісочниця. Ця методика розділяє додатки, не даючи ризикованим програмам (або будь-яким додаткам) отримувати безкоштовне вподобання на вашому Android. Але нова вразливість може означати, що пісочниця Android не настільки сильна, як ми думали.
Що це?
У Black Hat Джефф Форрістал продемонстрував, як є недоліком у тому, як Android обробляє сертифікати, щоб використовуватись для виходу з пісочниці. Це навіть може бути використане для отримання шкідливих додатків більш високого рівня привілеїв, і все це не дає жертвам підказки щодо того, що відбувається в їхньому телефоні. Forristal заявив, що цю вразливість можна використовувати для крадіжки даних, паролів і навіть повного контролю над кількома програмами.
В основі випуску лежать сертифікати, які в основному є невеликими криптографічними документами, які покликані гарантувати, що програма - це те, про що вона претендує. Forristal пояснив, що це точно та сама технологія, яку використовують веб-сайти для забезпечення автентичності. Але Android, виявляється, не вивчає криптографічних зв’язків між сертифікатами. Цей недолік, за словами Forristal, є "досить важливим для системи безпеки Android".
Що це робить
У своїй демонстрації Forristal використовував підроблене оновлення Служб Google, яке містило зловмисний код, використовуючи одну з уразливих даних щодо підроблених ідентифікаторів. Додаток було доставлено разом із електронною поштою соціального інжинірингу, де зловмисник виступає у складі ІТ-відділу жертви. Коли жертва починає встановлювати додаток, він бачить, що додаток не потребує дозволів і видається законним. Android здійснює встановлення, і все, здається, добре.
Але на задньому плані додаток Forristal використовував вразливість Fake ID для автоматичного та негайного введення зловмисного коду в інші програми на пристрої. Зокрема, сертифікат Adobe для оновлення Flash, інформація якого була жорстко закодована в Android. Протягом декількох секунд він мав контроль над п'ятьма програмами на пристрої - деякі з них мали глибокий доступ до пристрою жертви.
Це не перший раз, коли Forristal поспілкувався з Android. Ще в 2013 році Forristal здивував Android-спільноту, коли представив так званий подвиг Master Key. Ця широка вразливість означала, що підроблені програми можуть бути замасковані як законні, що потенційно надасть шкідливим програмам безкоштовний пропуск.
Перевірте ідентифікатор
Презентація Forristal не просто дала нам цікавих новин про Android, але і дала нам інструмент для захисту наших ювелірів. Forristal випустив безкоштовний інструмент сканування для виявлення цієї вразливості. Звичайно, це все ще означає, що людям доведеться не допускати зловмисного програмного забезпечення на свої телефони.
Про помилку також повідомлялося Google, і патчі, очевидно, виходять на різних рівнях.
Що ще важливіше, вся атака залежить від жертви, яка встановлює додаток. Щоправда, у нього немає червоного прапора, щоб просити багато дозволів, але Forristal сказав, що якщо користувачі уникатимуть додатків із "тінистих місць" (читайте: за межами Google Play), вони будуть у безпеці. Принаймні, поки що.
