Kemas kini 19 Jun: Terperinci Samsung apa yang boleh anda lakukan untuk memastikan anda mendapat pembetulan untuk mengeksploitasi.
Kemas kini 18 Jun: Samsung memberitahu Android Central bahawa ia menyediakan kemas kini keselamatan yang tidak perlu menunggu kemas kini sistem penuh dari pengendali.
Papan kekunci stok Samsung - seperti yang dihantar pada telefonnya - adalah subjek hari ini sekeping dari firma keselamatan NowSecure yang merinci kecacatan yang mempunyai kemungkinan membolehkan kod tersebut dilaksanakan dari jauh pada telefon anda. Papan kekunci terbina dalam Samsung menggunakan kit pembangunan perisian SwiftKey untuk ramalan dan pek bahasa, dan di sinilah eksploitasi itu dijumpai.
NowSecure telah menggariskan keseluruhan perkara dengan "Samsung Keyboard Security Risk Disclosed: Lebih 600M + Devices Worldwide Impacted." Itulah perkara yang menakutkan. (Terutamanya apabila ia termasuk latar belakang merah terang dan imej menakutkan yang umumnya dikenali sebagai wajah mati.)
Oleh itu, anda perlu bimbang? Mungkin tidak. Let's break it down.
Perkara pertama yang pertama: Ia telah disahkan kepada kami bahawa kami bercakap mengenai papan kekunci saham Samsung pada Galaxy S6, Galaxy S5, Galaxy S4 dan GS4 Mini - dan bukan versi SwiftKey yang boleh anda muat turun dari Google Play atau Apple App Store. Mereka adalah dua perkara yang sangat berbeza. (Dan jika anda tidak menggunakan telefon Samsung, jelas tidak ada yang berlaku untuk anda.)
Kami menjangkau SwiftKey, yang memberi kami pernyataan berikut:
Kami telah melihat laporan isu keselamatan yang berkaitan dengan papan kekunci saham Samsung yang menggunakan SDK SwiftKey. Kami boleh mengesahkan bahawa aplikasi Keyboard SwiftKey yang tersedia melalui Google Play atau Apple App Store tidak terjejas oleh kelemahan ini. Kami mengambil laporan dengan cara ini dengan serius dan sedang menyiasat lagi.
Kami juga menjangkau Samsung pada awal hari tetapi masih belum menerima sebarang komen. Kami akan mengemas kini jika dan apabila kami mendapatnya.
Membaca melalui blog teknis NowSecure untuk mengeksploitasi kita dapat melihat sekilas apa yang berlaku. (Sekiranya anda membacanya sendiri, sila ambil perhatian bahawa di mana mereka berkata "Swift" maksudnya "SwiftKey.") Sekiranya anda disambungkan ke titik akses yang tidak selamat (seperti rangkaian Wifi terbuka), seseorang boleh memintas dan mengubahnya pek bahasa SwiftKey semasa mereka sedang mengemaskini (yang mereka buat secara berkala untuk alasan yang jelas - ramalan yang lebih baik dan apa yang tidak), menghantar data telefon anda dari penyerang.
Mampu menipu yang buruk. Tetapi, sekali lagi, ia bergantung kepada anda berada di rangkaian yang tidak selamat di tempat pertama (yang sebenarnya anda tidak patut - elakkan hotspot awam yang tidak menggunakan keselamatan tanpa wayar, atau pertimbangkan VPN). Dan seseorang sedang berada di sana untuk melakukan sesuatu yang jahat di tempat pertama.
Dan ia bergantung kepada anda mempunyai peranti yang belum dipasang. Memandangkan NowSecure sendiri menunjukkan, Samsung telah menyerahkan patch kepada pembawa. Ia hanya tidak tahu berapa banyak yang telah menolak patch, atau akhirnya berapa banyak peranti yang kekal terdedah.
Mereka adalah banyak pemboleh ubah dan tidak diketahui yang akhirnya menambah eksploitasi akademik yang lain (yang bertentangan dengan satu yang mempunyai implikasi dunia nyata) yang sesungguhnya perlu (dan telah) ditetap, walaupun ia menggariskan kepentingan pengendali yang mengawal kemas kini ke telefon di Amerika Syarikat untuk mendapatkan maklumat terkini yang lebih cepat.
Kemas kini 17 Jun: SwiftKey, dalam catatan blog, berkata:
Kami membekalkan Samsung dengan teknologi teras yang menguatkan ramalan perkataan dalam keyboard mereka. Nampaknya cara teknologi ini disepadukan pada peranti Samsung memperkenalkan kelemahan keselamatan. Kami melakukan segala yang kami dapat untuk menyokong Samsung rakan kongsi lama kami dalam usaha mereka untuk menyelesaikan isu keselamatan yang penting tetapi jelas ini.
Kerentanan dalam soalan menimbulkan risiko rendah: pengguna harus disambungkan ke rangkaian yang dikompromi (seperti rangkaian Wi-Fi awam palsu), di mana seorang penggodam dengan alat yang betul secara khusus bertujuan untuk mendapatkan akses ke peranti mereka. Akses ini kemudiannya hanya boleh dilakukan jika papan kekunci pengguna sedang menjalankan kemas kini bahasa pada masa tertentu, ketika disambungkan ke rangkaian yang dikompromikan.
