Yang terbaru dalam kisah keselamatan Android yang tidak berkesudahan adalah keluar, dan kali ini ia membicarakan tentang aplikasi yang boleh diakses jika ia mengisytiharkan tiada kebenaran. (Untuk meletakkannya dengan cara lain, apa yang semua aplikasi dapat melihat jika ia tidak meminta permintaan aplikasi fungsi biasa.) Sesetengah orang membuatnya tidak perlu dibimbangkan, yang lain menggunakannya dalam usaha mereka untuk merosakkan dunia OS telefon bimbit yang paling popular, tetapi kami fikirkan perkara terbaik yang perlu dilakukan adalah menerangkan apa yang berlaku.
Sekumpulan penyelidik keselamatan menetapkan untuk membuat aplikasi yang mengisytiharkan tiada keizinan untuk mengetahui dengan tepat apa jenis maklumat yang mereka dapat keluar dari sistem Android yang sedang dijalankan. Perkara semacam ini dilakukan setiap hari, dan semakin popular sasarannya, semakin ramai orang melihatnya. Kami sebenarnya mahu mereka melakukan perkara seperti ini, dan dari semasa ke semasa orang mendapati perkara yang kritikal dan perlu diperbetulkan. Faedah semua orang.
Kali ini, mereka mendapati bahawa satu aplikasinya yang tidak ada (seperti tidak ada, nada, zilch) boleh membuat tiga perkara yang sangat menarik. Tiada yang serius, tetapi semuanya bernilai sedikit. Kami akan bermula dengan kad SD.
Sebarang aplikasi boleh membaca data pada kad SD anda. Ia selalu seperti ini, dan ia akan sentiasa seperti ini. (Menulis ke kad SD adalah apa yang memerlukan kebenaran.) Utiliti tersedia untuk membuat folder yang selamat, tersembunyi dan melindungi mereka dari aplikasi lain, tetapi secara lalai data apa pun yang ditulis ke kad SD ada untuk sebarang apl melihat. Ini adalah dengan reka bentuk, kerana kami mahu membenarkan komputer kami mengakses semua data pada sekatan yang boleh dibahagi (seperti kad SD) apabila kami memasangkannya. Versi baru Android menggunakan kaedah pembahagian yang berbeza dan cara yang berbeza untuk berkongsi data yang bergerak jauh dari ini, tetapi kemudian kita semua mendapat jalang tentang menggunakan MTP. (Kecuali anda Phil, tetapi dia sedikit kacang pada MTP suka.) Ini adalah penyelesaian mudah - jangan letakkan data sensitif pada kad SD anda. Jangan gunakan apl yang meletakkan data sensitif pada kad SD anda. Kemudian berhenti bimbang tentang program yang dapat melihat data yang mereka sepatutnya dapat melihat.
Perkara seterusnya yang mereka dapati benar-benar menarik jika anda geek - boleh membaca fail /data/system/packages.list tanpa kebenaran jelas. Ini tidak menimbulkan ancaman sendiri, tetapi mengetahui aplikasi yang dipasang oleh pengguna adalah cara yang baik untuk mengetahui eksploitasi apa yang berguna untuk mengompromi telefon atau tablet mereka. Fikirkan tentang kelemahan dalam apl lain - contoh yang digunakan para penyelidik ialah Skype. Mengetahui bahawa eksploitasi wujud ada di sini bermakna penyerang boleh cuba menyasarkannya. Perlu dinyatakan bahawa menyasarkan apl yang tidak selamat pasti memerlukan sedikit kebenaran untuk melakukannya. (Dan ini juga mengingatkan orang ramai bahawa Skype dengan cepat mengakui dan menetapkan isu kebenarannya.)
Akhir sekali, mereka mendapati bahawa direktori / proc memberikan sedikit data apabila ditanya. Contoh mereka menunjukkan bahawa mereka boleh membaca perkara seperti Android ID, versi kernel, dan versi ROM. Terdapat banyak lagi yang boleh didapati di direktori / proc, tetapi kita perlu ingat bahawa / proc bukan sistem fail sebenar. Lihatlah anda dengan penjelajah root - ia penuh dengan fail 0-bait yang dicipta pada runtime, dan direka untuk aplikasi dan perisian untuk berkomunikasi dengan kernel yang berjalan. Tidak terdapat data sensitif yang sebenar yang disimpan di sana, dan semuanya dihapuskan dan ditulis semula apabila telefon berkuasa. Sekiranya anda khuatir bahawa seseorang mungkin dapat mencari versi kernel atau 16 digit ID Android anda, anda masih mempunyai halangan untuk mendapatkan maklumat yang dihantar di mana-mana tanpa keizinan Internet yang jelas.
Kami gembira kerana orang sedang menggali jauh untuk mencari isu-isu seperti ini, dan sementara ini tidak kritikal oleh sebarang definisi yang serius, adalah baik untuk membuat Google sedar tentang mereka. Penyelidik melakukan pekerjaan semacam ini hanya boleh membuat perkara yang lebih selamat dan lebih baik untuk kita semua. Dan kita perlu menekankan bahawa rakan-rakan di Leviathan tidak bercakap tentang azab dan kesuraman, mereka hanya membentangkan fakta dengan cara yang berguna - azab dan kesuraman datang dari sumber luar.
Sumber: Leviathan Security Group
