Σε κίνδυνο σχεδόν 600 εκατομμύρια συσκευές της Samsung, λόγω του… SwiftKey;

[voltmod]

Πρόσφατα, η εταιρεία NowSecure δημοσιοποίησε τα ευρήματα της σχετικά με ένα κενό ασφαλείας που επηρεάζει σύμφωνα με εκτιμήσεις της σχεδόν 600 εκατομμύρια συσκευές της Samsung.Η εταιρεία ασφαλείας NowSecure, είχε ειδοποιήσει την Samsung για το σχετικό πρόβλημα στο ενσωματωμένο app SwiftKey από τον Δεκέμβριο του 2014, αλλά η Samsung, παρόλο που έχει υποτίθεται αντιμετωπίσει την ευπάθεια προσφέροντας το σχετικό patch στις εταιρείες κινητής τηλεφωνίας, η NowSecure ισχυρίζεται ότι οι εταιρείες δεν έχουν ξεκινήσει την διανομή του σχετικού patch στις περισσότερες συσκευές.

 

Για παράδειγμα, στις ΗΠΑ, οι εταιρείες Verizon και Sprint δεν έχουν αναβαθμίσει το Galaxy S6 ενώ η T-Mobile δεν έχει ακόμα αναβαθμίσει το Galaxy S5 και η AT&T δεν έχει αναβαθμίσει το Galaxy S4 mini. Στις περισσότερες περιπτώσεις, η κατάσταση των συσκευών της Samsung παραμένει άγνωστη σε παγκόσμιο επίπεδο, και σύμφωνα με την NowSecure ενδέχεται να επηρεάζονται περισσότερες από 600 εκατομμύρια συσκευές της Samsung.

 

Όταν η NowSecure δημοσιοποίησε το πρόβλημα πρόσφατα και κυκλοφόρησε η είδηση σε πολλά μέσα, η Samsung σε σχετική ανακοίνωση δήλωσε πως δεν υπάρχει σοβαρός κίνδυνος για τους χρήστες των συσκευών της, επειδή οι περισσότεροι έχουν ενεργοποιημένο το Knox, το οποίο εμποδίζει την εκτέλεση κώδικα στην συσκευή. Παρόλα αυτά δήλωσε πως ετοιμάζει μία αναβάθμιση που θα ενημερώσει τις πολιτικές ασφαλείας στο Knox για να αντιμετωπίσει το κενό ασφαλείας ενώ ξεκίνησε να εργάζεται με την SwiftKey για να αντιμετωπίσουν σχετικά μελλοντικά προβλήματα.

 

Στην συνέχεια επανήλθε με νέα ανακοίνωση δηλώνοντας πως μέχρι στιγμής δεν έχουν αναφερθεί περιπτώσεις υποκλοπής δεδομένων και στοιχείων από συσκευές που να σχετίζονται με την ευπάθεια στο SwiftKey. Επίσης ο κίνδυνος επανέλαβε είναι μικρός, αφού απαιτούνται ειδικές συνθήκες για να μπορέσει ένας επιτιθέμενος να εκμεταλλευτεί την ευπάθεια, όπως ότι ο επιτιθέμενος και η συσκευή θα πρέπει να βρίσκονται συνδεδεμένοι στο ίδιο μη ασφαλές δίκτυο WiFi την ώρα που κατεβαίνει κάποιο language update. Ένας τρόπος πάντως προστασίας είναι οι χρήστες να μην συνδέονται σε μη ασφαλή δίκτυα WiFi και να μην αναβαθμίσουν το πληκτρολόγιο SwiftKey.

 

Να αναφέρουμε, ότι το SwiftKey app στο Google Play store (αλλά και στο App Store της Apple) είναι ενημερωμένο και δεν διαθέτει το συγκεκριμένο κενό ασφαλείας. Οι εκδόσεις ωστόσο της εφαρμογής που βρίσκονται εγκατεστημένες στις συσκευές της Samsung, και είναι “ενσωματωμένες” στο λογισμικό (π.χ ο χρήστης δεν μπορεί να τις απεγκαταστήσει) δεν είναι ενημερωμένες και έχουν το συγκεκριμένο κενό ασφαλείας, που επιτρέπει στον επιτιθέμενο να εκτελέσει κώδικα στην συσκευή, ως “διαχειριστής”, να υποκλέψει επικοινωνίες (τηλεφωνικές κλήσεις και μηνύματα ή voicecalls ενώ έχει πρόσβαση σε αισθητήρες και πόρους όπως την κάμερα, το μικρόφωνο και το GPS) καθώς και να κλέψει φωτογραφίες και video.

 

Όπως αναφέραμε, η Samsung ετοιμάζει ήδη μία αναβάθμιση που θα διορθώνει το πρόβλημα, αλλά ζητάει από τους χρήστες να σιγουρέψουν ότι θα την λάβουν. Ζητάει λοιπόν από τους κατόχους συσκευών να ενεργοποιήσουν την επιλογή “Automatic Updates” αφού εισέλθουν στον κατάλογο με τις ρυθμίσεις της συσκευή τους: Settings> Lock Screen and Security> Other Security Settings > Security policy updates και ενεργοποιήστε το Automatic Updates. Στην ίδια οθόνη μπορείτε επίσης να κάνετε “Check for updates” για να λάβετε ενδεχομένως άλλες αναβαθμίσεις που αφορούν στις πολιτικές ασφαλείας επίσης.

 

 

Site: NowSecure

Site: PhoneArena

[coffeex]

Χτες που είδα το video

 

 

To ανησυχητικό της υπόθεσης είναι αυτό

"η Samsung, παρόλο που έχει υποτίθεται αντιμετωπίσει την ευπάθεια προσφέροντας το σχετικό patch στις εταιρείες κινητής τηλεφωνίας, η NowSecure ισχυρίζεται ότι οι εταιρείες δεν έχουν ξεκινήσει την διανομή του σχετικού patch στις περισσότερες συσκευές."

Aς ελπίσουμε να βγει γρήγορα η αναβάθμιση.

[Predatorkill]

Αυτα συμβαινουν μονο και μονο επειδη η καθε εταιρια βγαζει οποτε γουσταρει firmware update μετα τον σχετικο «ελεγχο» που κανουν σε καθε νεα εκδοση. Με τετοιο κατακερματισμο συσκευων στην αγορα φυσικο επακολουθο ειναι.

[nikchris]

Αυτα συμβαινουν μονο και μονο επειδη η καθε εταιρια βγαζει οποτε γουσταρει firmware update μετα τον σχετικο «ελεγχο» που κανουν σε καθε νεα εκδοση. Με τετοιο κατακερματισμο συσκευων στην αγορα φυσικο επακολουθο ειναι.

 

Τι σχεση εχει ο 'κατακερματισμος', μονο εσυ ξερεις.

 

 

Σιγα την ευπαθεια. Την εχεις οταν κατεβαζεις language pack για το swiftkey ενω εισαι συνδεδεμενος σε μη ασφαλες wifi δικτυο.

 

Να το κανουμε closed source και να μεινουμε με 5 συσκευες, επειδη εχουμε 0.00000001% πιθανοτητα να την παθουμε;

 

Τι λες και εσυ;

 

ΥΓ

 

Αυτα δηλαδη δεν συμβαινουν σε 'μη-κατακερματισμενες' πλατφορμες;

 

http://www.cultofmac.com/319829/ios-app-security-afnetworking-bug/

 

http://www.techtimes.com/articles/48064/20150422/security-flaw-in-ios-8-can-permanently-crash-your-ipad-or-iphone.htm

 

http://arstechnica.com/security/2015/06/serious-ios-bug-makes-it-easy-to-steal-users-icloud-passwords/

[pythonakos]

Ολα αυτα τα κενα με τα προτεινομενα turbo custom firmwares λυνονται ή καποιος πορωμενος με την εφαρμογη αν την εγκαταστησει αυτοματως γινεται vulnerable? Α και κατι σχετικο... Με τα free wifi που σου ζητανε fb login υπαρχει πιθανοτητα να σου τσιμπησουν οτιδηποτε εχει σχεση με το κινητο ή/και credentials απο εφαρμογες?

[Predatorkill]

18.800 διαφορετικες android συσκευες το 2014: http://opensignal.com/reports/2014/android-fragmentation/

 

Ξαναγυρνα στη σπηλια σου.

 

ΥΓ.

Τονισα το ποσο αργουνε οι παροχοι το release νεου firmware ακομα και στις ναυαρχιδες, δε σταθηκα στο swift. Με 18.800 συσκευες εκει εξω, περιμενε εσυ απο το 2014 που βρεθηκε το συγκεκριμενο να σου στειλει update η καθε εταιρια και οταν το παιρνεις, να τρως στη μαπα και το bloat τους.

 

ΥΓ2.

Συγνωμη που σου εθιξα το android, δε θα το ξανακανω

[podarilos]

Δυστυχώς οι android owners σε σχέση με του ios owners έχουν ένα ακόμα λόγω ανησυχίας. Και φυσικά εννοώ την ταχύτητα που λαμβάνουν τέτοιου είδους  security updates...

 

Για να μην παρεξηγηθώ δεν είμαι ούτε android fan boy ούτε ios fanboy. Έχω δύο συσκευές: ένα android και ένα ios που το καθένα το αξιοποιώ εκεί που με βολεύει.

[Drop_Dead]

Παίζει μα ισχύει και για Samsung με cyanogenmod?

[Nahock]

Εκτός από την περίπτωση του swiftkey θα μπορούσε να υπάρχουν άλλες 1000 περιπτώσεις τις οποίες πολύ απλά δεν τις γνωρίζει κανείς. 

[dali13gr]

Δηλαδή για να καταλάβω, η σειρά S της Samsung έχει σαν stock keyboard το Swiftkey και όχι κάποιο δικό της ή έστω το stock Android;! 

[SaFiS]

Εγώ το μόνο που βλέπω πλέον στο insomnia, είναι το ότι αν είχε γραφτεί αυτή η είδηση για την Apple, θα είχε γίνει πανηγύρι εδω μέσα....

[badweed]

"Επίσης ο κίνδυνος επανέλαβε είναι μικρός, αφού απαιτούνται ειδικές συνθήκες για να μπορέσει ένας επιτιθέμενος να εκμεταλλευτεί την ευπάθεια, όπως ότι ο επιτιθέμενος και η συσκευή θα πρέπει να βρίσκονται συνδεδεμένοι στο ίδιο μη ασφαλές δίκτυο WiFi την ώρα που κατεβαίνει κάποιο language update "

 

αααχαχααχαχαχαχααα 

τρομερο !!! 

αν σου τυχει παιξε και κανα λαχειο ! 

πιο πιθανο ειναι να σε φερμαρουν και να σου παρουν το κινητο την καρτα τις καταθεσεις και την γκομενα παρα να σου τυχει τετοια συγκυρια ...

τι σου ειναι το infowar..

[Apple fanboy]

Εγώ δε καταλαβαίνω τι σχέση έχει η samsung..το έφτιαξε το πρόβλημα;

Τώρα αν η Βεριζον ξύνεται,το πρόβλημα έγκειται εκεί.

[DJTaurus]

Samsung“screwed up” how they implemented Swiftkey's SDK into their keyboard.

 

Στην αρχική ανακοίνωση της Swiftkey η εταιρία έγραφε ξεκάθαρα ότι το πρόβλημα δεν είναι στην εφαρμογή μας αλλά στον τρόπο που η Samsung επιλέγει να αναβαθμίζει τις γλώσσες στο λειτουργικό της. Με λίγα λόγια έριχνε ξεκάθαρα το φταίξιμο σε αυτούς. Το άρθρο έγινε updated και η αρχική δήλωση έχει αφαιρεθεί.... προφανώς πήραν γραμμή από την Shamesung. Από την άλλη η Τσαμσουγκ έβγαλε ανακοίνωση στους χρήστες να αναβαθμίσουν μέσω Knox.... όσοι δεν το χρησιμοποιούν τον πούλο

 

No, It’s Samsung, Not Swiftkey, That Is To Blame For This Keyboard Security Scare

[hic_et_nunc]

Samsung“screwed up” how they implemented Swiftkey's SDK into their keyboard.

 

Στην αρχική ανακοίνωση της Swiftkeyη εταιρία έγραφε ξεκάθαρα ότι το πρόβλημα δεν είναι στην εφαρμογή μας αλλά στον τρόπο που η Samsung επιλέγει να αναβαθμίζει τις γλώσσες στο λειτουργικό της. Με λίγα λόγια έριχνε ξεκάθαρα το φταίξιμο σε αυτούς. Το άρθρο έγινε updated και η αρχική δήλωση έχει αφαιρεθεί.... προφανώς πήραν γραμμή από την Shamesung. Από την άλλη η Τσαμσουγκ έβγαλε ανακοίνωση στους χρήστες να αναβαθμίσουν μέσω Knox.... όσοι δεν το χρησιμοποιούν τον πούλο

 

No, It’s Samsung, Not Swiftkey, That Is To Blame For This Keyboard Security Scare

 

Γραφε σαν τον ανθρωπο. Σεβασμος στην εταιρια που ανοιξε τα ματια του κοσμου κι εκανε το android No1