[ANUNT INGROZITOR] Sistemul Android vulnerabil – Fake ID bug
Internetul se incinge de articole alarmiste care anunta descoperirea unui bug in codul Android incepand de la versiunea Android 2.1. Acest bug permite persoanelor rau intentionate sa extraga date sensibile din memoria dispozitivului Android.
Sunt vizate in principal detaliile financiare mai ales pentru utilizatorii care folosesc google wallet sau alte programe de internet banking precum si datele din agenta personala.
Defectul acesta denumit Fake ID bug permite unor aplicatii create de persoane rau intentionate sa simuleze id urile unor aplicatii legitime carora sistemul de operare le permite accesul la cele mai detaliate informatii fara a mai face verificarile de rigoare ca in cazul aplicatiilor cu programatori aproape necunoscuti.
Descoperirea a fost facut de catre o companie producatoare de software de securitate numita Bluebox Security care chiar ofera si un programel pentru scanare si diagnoza. Din punctul meu de vedere este un nou mod de a se impune pe piata al unei companii prin oferirea unei solutii la o problema prea putin documentata in mod surprinzator chiar de Google.
Google pe de alta parte a comunicat faptul ca stia deja de acest neajuns si a luat masurile necesare pentru a il repara. In prezent deja exista pe piata Android Kit Kat 4.4.4 si se preconizeaza lansarea unei alte versiune Android L care se pare ca nu va avea un nume de desert ca celelalte versiuni.
Utilizatorii care inca mai au dispozitive cu versiuni mai vechi sunt expusi conform comunicatului firmei de software.
BBC News anunta ca Google a afirmat ca deja a lansat un patch prin partenerii sai, asa ca ar fi bine sa verifici site-ul producatorului tau de smartphone sau site-ul companiei de telefonie mobila in cautarea unei solutii viabile. Problema in ecosistemul Android este ca sunt atatea versiuni personalizate acele custom ROM cu care se mandreste fiecare producator de telefoane si tablete sau chiar si anumite companii de telefonie mobile pe care uita din nefericire sa le mai sustina dupa lansare prin publicarea unor update-uri si fix-uri.
Sinteza principalelor afirmatii ale lui Jeff Forristal – Bluebox CTO http://bluebox.com/technical/android-fake-id-vulnerability/
Datorita modului in care sunt semnate aplicatiile pentru a fi publicate in market o aplicatie malitioasa poate prelua identitate Adobe System care are privilegii mai extinse si in consecinta sa instaleze un cal troian.
O aplicatie nedorita poate prelua identitatea google wallet pentru a accesa datele financiare.
BlueBox Security a mai descoperit si o alta problema – Master Key care permitea unei persoane cu intentii rele sa preia controlului dispozitivului android atacat dar pentru asta utilizatorul ar fi trebuit sa confirme mai multe actiuni. Fake ID bug este mult mai periculos prin faptul ca isi desfasoara atacul in fundal fara ca utilizatorul sa stie despre asta.
Ca o concluzie in urma informarilor date de Google si de companiile de securitate pot spune ca cel mai sigur este sa instalezi aplicatii din google play.
Din punctul meu de vedere varianta cea mai ferita de probleme este sa nici nu te gandesti sa instalezi o aplicatie de banking pe telefon prin care sa oferi acces persoanelor nedorite la date sensibile.
Stiu, in era tehnologiilor avansate, sa fac o asemenea afirmatie, poate parea deplasat, dar gandeste-te si tu, daca ai acces la cele mai importante informatii printr-un singur dispozitiv la ce te expui daca il pierzi, ti se fura sau se distruge accidental!
Sursele
Daily Mail Massive security alert over Android ‘Fake ID’ bug as experts warn personal and financial details of millions of users have been at risk for four YEARS Read more: http://www.dailymail.co.uk/sciencetech/article-2709919/Massive-security-alert-Android-Fake-ID-bug-experts-warn-personal-financial-details-millions-users-risk-four-YEARS.html#ixzz38tPciYY3
Android Fake ID bug exposes smartphones and tablets http://www.bbc.com/news/technology-28544443
Android OS Caught With ‘Fake ID’ Bug http://www.pcmag.com/article2/0,2817,2461589,00.asp
Google’s Android Has a Fake-ID Problem http://www.businessweek.com/articles/2014-07-29/googles-android-has-a-fake-id-problem