Το Android επιτρέπει σε εφαρμογές να πάρουν τον έλεγχο του λειτουργικού

[billdanos]

Η πρώτη γραμμή άμυνας στην ασφάλεια των υπολογιστών είναι ο χρήστης, ή τουλάχιστον έτσι συμβαίνει στο Android. Όποτε εγκαθίσταται μία εφαρμογή από το Android Market ή μέσω κάρτας SD ή μέσω μεταφόρτωσης (download), εμφανίζεται στον χρήστη μία ανάλυση δικαιωμάτων πρόσβασης όπου φαίνεται σε τι ακριβώς μέρος του λογισμικού αλλά και του hardware έχει πρόσβαση η συγκεκριμένη εφαρμογή. Οι πιο υποψιασμένοι χρήστες συχνά αποφεύγουν εφαρμογές που επιθυμούν να έχουν μεγαλύτερη πρόσβαση απ' όση χρειάζεται και οι πιο καλοί developers συνήθως δημοσιεύουν τους λόγους για τους οποίους ζητούν πρόσβαση στο Android Market. Αλλά φαίνεται ότι υπάρχει ένα σημαντικό κενό ασφαλείας στο σύστημα δικαιωμάτων πρόσβασης του λειτουργικού συστήματος Android. Ο Διευθυντής Έρευνας και Ανάπτυξης της εταιρείας ViaForensics απέδειξε ότι το σύστημα μπορεί να παρακαμφθεί με την εγκατάσταση μίας εφαρμογής χωρίς κανένα δικαίωμα πρόσβασης, η οποία παρ'όλα αυτά, μπορεί να ελέγξει πλήρως το κέλυφος του λειτουργικού συστήματος Android.

 

Ο Thomas Cannon κατέστησε γνωστό το πρόβλημα ασφαλείας μέσω ενός video, στο οποίο χρησιμοποιεί ένα προσομοιωτή του Gingerbread SDK. Η εφαρμογή που δημιούργησε, εγκαθίσταται χωρίς κανένα δικαίωμα πρόσβασης - ισάξια ενός wallpaper σύμφωνα με το σύστημα δικαιωμάτων πρόσβασης του Android. Η εφαρμογή επιτρέπει τον έλεγχο του κέλυφους του Android μέσω μίας απομακρυσμένης σύνδεσης. Η εφαρμογή εμφανίζεται ως "παιχνίδι" και δεν ζητά δικαίωμα πρόσβασης. Ο Cannon λέει ότι το πρόβλημα ασφαλείας δεν είναι νέο και είναι γνωστό στους ερευνητές ασφαλείας εδώ και λίγο καιρό ενώ σημειώνει ότι έχει διαπιστώσει την ύπαρξή του από την έκδοση 1.5 του λειτουργικού μέχρι και το πρόσφατο Ice Cream Sandwich. Η εφαρμογή αποκτά δικαίωματα πρόσβασης μέσω του web browser του Android ενώ ο ερευνητής βρήκε και άλλα ζητήματα ασφαλείας όπως αρχεία της εφαρμογής e-mail τα οποία αποθηκεύονταν σε μη κρυπτογραφημένη μορφή στην κάρτα μνήμης SD...

 

Η εταιρεία ViaForensics πρόσφατα αποκάλυψε προβλήματα ασφαλείας στο σύστημα πληρωμών Google Wallet το οποίο λειτουργεί με την τεχνολογία NFC. Ο Cannon είναι ερευνητής, όχι hacker. H εφαρμογή που χρησιμοποιεί είναι μία δοκιμαστική εφαρμογή φτιαγμένη ειδικά για την απόδειξη του προβλήματος ασφαλείας. Ακόμη όμως κι έτσι, η επίδειξη είναι ανησυχητική - εάν κάποιος προχωρημένος developer τα κατάφερε, κάποιος λιγότερο προχωρημένος θα το αντιληφθεί επίσης. Ο Cannon δεν εξήγησε επακριβώς το σύστημα με το οποίο αποκτά πρόσβαση μέσω του web browser αλλά προφανώς οι μηχανικοί της Google θα μπορέσουν να βρουν το πρόβλημα και να το διορθώσουν. Ως συνήθως, να ελέγχετε τα δικαιώματα πρόσβασης κάθε εφαρμογής και να εγκαθιστάτε εφαρμογές μόνο από πηγές που εμπιστεύεστε.

 

 

Video: Video επίδειξης του προβλήματος ασφαλείας

 

Πηγή: Researcher demonstrates an app taking over Android with zero permissions

 

Site: viaForensics claims Google Wallet has security issues

[antbyron]

Είμαι κάτοχος συσκευής με android os και το χρησιμοποιώ για την επικοινωνία μου αλλά και ως παιχνίδι, δηλ δεν έχω κάποια data αξίας να προστατεύσω. Αν το χρησιμοποιούσα επαγγελματικά ή έκανα αγορές και εξέθετα κάρτες κλπ. θα απευθυνόμουν ή apple η wp.

Τα κενά ασφαλείας στο android os είναι τεράστια και συνεχώς αποκαλύπτονται και άλλα.

[Vasilisxd]

Αναμεσα στις ελευθεριες/δυνατοτητες του Android ειναι και τα προγραμματα firewall.

Απο την στιγμη που εχω firewall θεωρω οτι ειμαι πιο προστατευμενος απο τα WP7/iOS.

 

Και δεν ειναι και κατι σπουδαιο , τικαρεις ποια προγραμματα θελεις να εχουν επικοινωνια με το internet και αυτο ειναι ολο.

[speedman_26]

σε καθε δημοφιλης πλατφορμα το ιδιο συμβαινει

[flik]

Πλέον βλέπω να καταφεύγουν όλοι στα firewalls.

Δεν έχει να κάνει με το οτι είναι ανοιχτή πλατφόρμα. Το internet banking φαίνεται οτι είναι πολύ πιο ασφαλές στα κλειστά λειτουργικά. Το android γενικά δεν το προτιμούσαν οι business users, που ήθελαν λίγα πράγματα, απλά και πιο ασφαλή.

[ASDKOSTAS]

Οταν λετε οτι χρησιμοποιητε firewall πειτε μου ποιο προτεινετε. Εχω το antivirus pro της avg με καλυπτει 'η θα πρεπει να το συνδιασω με καποιο αλλο;

 

[Lomar]

με τις rooted συσκευές τι ακριβώς παίζει;

 

είναι μπάχαλο η κατάσταση πλέον με το Android και οφείλω να ομολογήσω οτι η Google (και δε στηρίζομαι μόνο στη συγκεκριμένη είδηση, αλλά και στη πολιτική της με τα API, το ανεξέλγκτο market και το χάσμα μεταξύ tablet, smartphones, αλλά και μεταξύ των smartphones πάλι το μπάχαλο του market με τα specs του κάθε app), βιάστηκε να απαντήσει στην Apple (αλλά και να προλάβει τη Microsoft) με ένα φάσμα συσκευών πολύ μεγαλύτερο απ'όσο μπορούσε να διαχειριστεί.

 

είναι γεγονός οτι και με Apple συσκευές υπάρχουν κενά ασφαλείας και bug, αλλά όχι σε τόσο τραγικό σημείο. Πραγματικά το Android μου αρέσει περισσότερο απο iOS, αλλά μόνο σε Galaxy SII και Nexus. To Galaxy S, αξιοπρεπές αλλά πολύ φτωχή κατασκευή και υλικά, καθόλου ανθεκτικό, αν και ακόμα δεν μου έχει πάθει κάτι.

 

Τελικά βλέπω WM να επικρατούν ως κύριος αντίπαλος του iOS στις χαμηλού κόστους συσκευές, ειδικά μετά το fusion του design language και κοινού API με Windows 8, Azure, xbox live και δε συμμαζεύεται.

 

Ελπίζω με την 4 έκδοση να αλλάξει κάτι αλλά πολύ χλωμό, αν δεν ήταν τα WM στη μέση, πιστεύω θα τα κατάφερνε να κυριαρχήσει στο low-cost κομμάτι της αγοράς (αυτή τη στιγμή κυριαρχεί, αλλά μετά τα τελευταία προβλήματα, θα αρχίσουν εκτός απο developer να παρατάνε τη πλατφόρμα και οι χρήστες).

 

 

[ni_kuho]

Εντάξει αναμενόμενο είναι. Όλες οι πλατφόρμες έχουν -μικρότερα ή μεγαλύτερα- κενά, απλά το android λόγω της μεγάλης ανάπτυξης που γνωρίζει τελευταία βρίσκεται συχνότερα στο στόχαστρο. Αυτό όμως δεν είναι απαραίτητα κακό, η google θα βρει την τρύπα και θα την κλείσει. Φοβού ό,τι δεν έχει βγει ακόμα στο φως

[digekas]

http://viaforensics.com/security/nopermission-android-app-remote-shell.html

 

http://viaforensics.com/appwatchdog/

[Vasilisxd]

Οταν λετε οτι χρησιμοποιητε firewall πειτε μου ποιο προτεινετε.

 

https://market.android.com/details?id=com.googlecode.droidwall.free&hl=el

[Lomar]

στο Android οι customιές δεν είναι για n00bάδες.

 

ps: Μερικοί πήραμε Android απο ιδεολογία ή επειδή δεν θέλαμε να έχουμε iphone, τώρα αν στο φτωχό μυαλό του κάθε πιτσιρικά ή καρακιτσαράτου ελληνάρα (πρώην)νεόπλουτου, υπάρχει αυτή η εντύπωση, δικό του πρόβλημα.

 

ps2: η καλύτερη πλάκα είναι να μάθουμε το ποσοστό των χρηστών smartphone, που εκτός απο τηλέφωνο, facebook και gaming, χρησιμοποιούν το κινητό τους για e-mail (επαγγελματικά, όχι forwarding-chain-mails), διαχείριση ERP/CRM της επιχείρησής τους/στην οποία εργάζονται, σε αυτούς που είναι πραγματικά χρήσιμο να έχουν ssh για απομακρυσμένη σύνδεση σε κάποιο server ανα πάσα στιγμή για να τσεκάρουν log files, cron jobs κ.α. [προσωπικό παράδειγμα, σταθερός πελάτη που ο γιός απεγκατέστησε τον Ethernet Driver, είχα μόνο το κινητό μαζί, κατέβασα driver απο το Galaxy S και με το usb καλώδιο που έχω πάντα μαζί για φόρτιση το πέρασα στον σταθερό και όλα οκ + ssh σύνδεση σε διαδικτυακή υπηρεσία που χρησιμοποιεί ΤΕΙ για διαγραφή χρηστών, προσθήκη, διόρθωση στοιχείων, έλεγχο της υπηρεσίας κ.α.] -> με iphone το κάνω αυτό για 250-300€ επιπλέον αρχικό πάγιο κόστος.

[Radiatedsoul]

προσωπικό παράδειγμα, σταθερός πελάτη που ο γιός απεγκατέστησε τον Ethernet Driver, είχα μόνο το κινητό μαζί, κατέβασα driver απο το Galaxy S και με το usb καλώδιο που έχω πάντα μαζί για φόρτιση το πέρασα στον σταθερό και όλα οκ

εσυ και ο μαγκαιβερ

[Lomar]

εσυ και ο μαγκαιβερ

 

true story, όσο γελοίο και αν ακούγεται, δεν είναι κάτι ασυνήθιστο, μπορεί να το έγραψα πολύ απλωμένα αλλά ξέρεις οτι είναι απλή διαδικασία (για τεχνοφοβικούς και μη-γνώστες είναι μαγκάιβερ), δε με τρολλάρεις μικρό τρόλ

 

ps: πρόσθεσα κάτι και για διαδικτυακή υπηρεσία, ssh και server, αυτό είναι CSI, MI φάση, τρέξε να τρολλάρεις τώρα.

 

 

[orlox]

Σημασία έχει να βουλώσει γρήγορα η τρύπα. Όσοι κάτοχοι iPhone τρίβεται τα χέρια σας από χαρά (για πιο λόγο άραγε σκεφτείτε ότι το ios χακαρετε με μια απλή επίσκεψη σε ιστοσελίδα. Το λένε jailbreak... Γενικά δεν είναι κακό να υπάρχουν τρύπες. Πάντα θα υπάρχουν. Κακό είναι να μην τις κλείνουν.

[kinitos]

πραγματικα ποτε δεν καταλαβα οταν γραφουν για ντροιντ κραζουν ολοι.οταν γραφουν για ιος δεν μιλαει κανεις μα τοσο κολημα ποια?

κανεις δεν καταλαβενει οτι ειναι το ιδιο σκατα ολα τα κινητα?μα ολοιδια...

 

προ ημερων ειχαμε το επισημο για ολες τις συσκευες προγραμμα που καταγραφει και ποτε κλασ....

 

και παλι κουβεντα για το ιος γιατι και καλα εδωσε απντειτ (παλι καλα βεβαια)...

και το τραγικοτερο ολων που καποιος μπορει να πιστευει στο παραθυρικο κινητο οτι ΘΑ ειναι ασφαλες.....και προ ημερων βγηγκε το προβλημα με τα εσ εμ ες...

 

ΒΓΑΛΤΕ ΤΙς ΠΑΡΟΠΙΔΕΣ ΚΑΙ ΚΑΤΑΛΑΒΕΤΑΙ ΤΟ. ΚΑΝΕΝΑ ΚΙΝΗΤΟ ΔΕΝ ΕΙΝΑΙ ΑΣΦΑΛΕΣ.

ΚΑΝΕΝΑ PC ΔΕΝ ΕΙΝΑΙ ΑΣΦΑΛΕΣ.

ΤΟ ΜΟΝΟ ΑΣΦΑΛΕΣ ΕΙΝΑΙ ΝΑ ΜΗΝ ΕΧΟΥΜΕ ΠΛΗΡΟΦΩΡΙΕΣ ΠΟΥ ΔΕΝ ΠΡΕΠΕΙ (οτι ειναι αυτο για το καθε ατομο ξεχωριστα)

 

σορυ για τα κεφαλαια αλλα δεν αντεχω ποια μολις δουν κατι να κραζουν μονο αυτο και το αλλο περιμενει στη γωνια και φοβαται ποτε θα ανακαλυφθει...