Νέο κενό ασφαλείας στο Android

31 Jul

Μια ομάδα ερευνητών των Bluebox Labs εντόπισαν και ανέλυσαν ένα κενό ασφαλείας που επηρεάζει τις εκδόσεις του Android από την 2.1 έως την 4.4 για το οποίο η Google εξέδωσε patch και το διέθεσε στους συνεργάτες της και στο Android Open Source Project.

Το Fake ID όπως το ονόμασαν μπορεί να εκμεταλευτεί τον τρόπο που γίνεται ο έλεγχος της ασφάλειας σε μια εφαρμογή και η διαχείριση των πιστοποιητικών, και να εκτελέσει άλλον κώδικα ή εφαρμογή εκτός αυτής για την οποία έχει τα δικαιώματα.

Κάθε Android εφαρμογή αποκτά την δική της μοναδική κρυπτογραφημένη υπογραφή μέσω της οποίας καθορίζεται ο “ιδιοκτήτης” της και τι δικαιώματα έχει και το όλο λειτουργικό βασίζεται σε αυτά τα πιστοποιητικά για την σωστή λειτουργία των εκτελούμενων εφαρμογών.

There are “parent certificates” and “child certificates,” which are checked against one another upon installation to ensure they match up and the app is trusted.

The parent, usually handed down by the original software creator, effectively proves the child is worthy of being trusted, as part of what is known as the “certificate chain”.

Οι ερευνητές επέδειξαν την χρησιμοποίηση πιστοποιητικού της Adobe Systems με κακόβουλο σκοπό, αφού επιτρέπει την φόρτωση HTML κώδικα σε οποιαδήποτε άλλη εφαρμογή, κάνοντας έτσι εφικτή την εκτέλεση κακόβουλου κώδικα, ενώ με παρόμοιο τρόπο μπορεί να ξεγελαστεί το NFC certificate και να αποκτηθεί πρόσβαση σε οικονομικά στοιχεία όπως το Google wallet.



Leave a comment

Posted by on 31 July, 2014 in MinOtavrS blog


Tags: , ,

Leave a Reply

Fill in your details below or click an icon to log in: Logo

You are commenting using your account. Log Out / Change )

Twitter picture

You are commenting using your Twitter account. Log Out / Change )

Facebook photo

You are commenting using your Facebook account. Log Out / Change )

Google+ photo

You are commenting using your Google+ account. Log Out / Change )

Connecting to %s

%d bloggers like this: