Байпас екрану блокування екрану Samsung має поєднання сторонніх рішень

На початку цього місяця ентузіаст мобільних пристроїв Теренс Еден повідомив про недолік коду екрану блокування для версії Android від Samsung, недолік, який дозволить набирати номери та запущені програми, навіть коли телефон заблокований. Пізніше він застосував ту саму техніку в атаці, яка може повністю відключити екран блокування. Samsung працює над виправленням, але тим часом мобільні охоронні компанії вживають власних заходів щодо захисту користувачів.

Немає екстрених викликів

Вікно вразливості виникає, коли хтось відкриває додаток «У випадку надзвичайних ситуацій» (який доступний навіть при заблокованому телефоні), а потім натискає кнопку «Головна». Дослідники в'єтнамської охоронної компанії Bkav визначили ДВС джерелом проблеми. У недавньому дописі вони пояснили: "Недолік полягає в тому, що інженери Samsung дозволяють запускати ICE з вікна екстреного виклику. Це означає, що звичайний додаток (в даному випадку ICE) може працювати, навіть коли телефон заблокований. "

Рішення Bkav - відключити додаток ICE. Використовуючи безкоштовну або комерційну версію Bkav Mobile Security, користувачі можуть вибрати "Антиблокувальний обхід екрана", щоб активувати цю функцію. Не бачите цього варіанту? Тоді ваш телефон не вразливий до цієї помилки.

У публікації Bkav також вказується на виправлення, яке запропонував Lookout, виробник редакції Choice Lookout Mobile Security, стверджуючи, що виправлення Lookout неефективне. Lookout відстежує додаток ICE і змушує його вийти на перший план, якщо його відштовхують на задній план (короткий) вигляд головного екрану. За словами Бкава, "це також дорога невдач, по якій пройшли інженери Samsung … головний екран вже виявлено, достатньо часу для поганих хлопців, щоб отримати доступ до програм там".

Обзор відповідає

Девід Річардсон, менеджер із продуктів, що стоїть за виправленням Lookout, думає інакше. "Є маса питань", - сказав Річардсон. "Один з них полягає в тому, що ви можете на мить побачити головний екран і, можливо, натиснути одну кнопку … Уразливість, від якої ми захищаємо вас, значно гірша. Це дозволяє вам повністю обійти заблокований екран, щоб він навіть не повторився. заблокувати, якщо ви не увімкнете пристрій та не ввімкніть його знову. "

Річардсон відзначив, що для хакера той факт, що ви можете на мить побачити головний екран, - це зрозуміло, що щось не так, і що ви могли б оформити цей погляд на повний доступ. "Люди знайшли чотири-п’ять способів обійти заблокований екран. Ми захищаємо від найважчих, але, мабуть, ще п’ять ще належить виявити.

Інший підхід

"Ми дослідили підхід, який вони реалізували, - сказав Річардсон, - але ми вважали, що це занадто нав'язливо, а не те, що ми могли б витіснити для 35 мільйонів користувачів". Він продовжував зазначати: "Якщо ми навіть заважали одній людині здійснити необхідний екстрений виклик, це набагато гірше будь-якої вразливості. Натомість ми захищаємо більшість від найважливішого ризику, який є постійним обходом екрана блокування".

Річардсон зазначив, що рішення Bkav вимагає активної участі користувача. "Якщо ми збиралися це зробити, нам доведеться попросити підтвердження, щоб відключити ДВС", - сказав Річардсон. "Ми не просто вживали б таких дій, але хочемо захистити користувачів, які ніколи навіть не чули про цю вразливість".

Зрештою, зауважив Річардсон, "Samsung має вирішити основну проблему. Користувачі повинні шукати цей патч - ми повідомимо їх, коли він буде доступний. І ми тим часом захистимо їх".

Відповідаючи на попередній запит SecurityWatch, Samsung заявив, що "Samsung вважає конфіденційність користувачів та безпеку даних користувачів головним пріоритетом. Ми знаємо про цю проблему і випустимо виправлення якнайшвидше".

Пам’ятайте також, що ніхто не може ввірватися у ваш телефон, використовуючи цю техніку, поки телефон безпечно перебуває у вашій кишені чи гаманці. Можна сказати багато про звичайну стару фізичну безпеку.