211service.com
Wykorzystywanie przeglądarki na Androida podkreśla problem z aktualizacją Google
Badacz bezpieczeństwa odkrył sposób na przejęcie około 70 procent urządzeń z Androidem za pośrednictwem strony internetowej lub aplikacji. Nie wiadomo, czy ktokolwiek faktycznie używa tego exploita do atakowania telefonów użytkowników, ale ustalenia badacza przypominają, że Google boryka się z narastającym bólem głowy, ponieważ brakuje mu sposobu na skuteczne rozpowszechnianie aktualizacji zabezpieczeń na setki milionów urządzeń, na których działa jego oprogramowanie na całym świecie. Wiele z tych urządzeń ma przestarzałe wersje Androida.
Nowy exploit został opracowany przez Joe Vennixa, inżyniera oprogramowania w firmie zajmującej się bezpieczeństwem Szybki7 kto w zeszłym tygodniu dodał exploit do firmy Metasplot oprogramowanie używane do testowania urządzeń i systemów pod kątem znanych luk w zabezpieczeniach. Jego kod wykorzystuje błąd, po raz pierwszy ujawniony w Grudzień 2012 , w przeglądarce internetowej wbudowanej w system Android. Exploit może zostać wykorzystany do przejęcia telefonu po skierowaniu kogoś na stronę internetową z osadzonym złośliwym kodem lub poprzez dostarczenie kodu za pośrednictwem aplikacji, z których wiele wyświetla treści, takie jak reklamy, korzystając z możliwości przeglądarki Androida. Vennix to odkrył jedna aplikacja Baidu , na przykład, był podatny na exploit, gdy był zainstalowany na urządzeniu z wersją Androida wydaną w grudniu 2013 roku. Inny badacz stwierdził, że exploit działa na Google Glass .
Vennix szacuje, że 70 procent urządzeń z Androidem jest podatnych na exploit, na podstawie: Dane Google dla odsetka urządzeń z różnymi wersjami Androida. Co najważniejsze, chociaż Google wypuściło nową wersję Androida z poprawką podstawowego błędu w listopadzie 2012 r., większość urządzeń, na których działa to oprogramowanie, prawdopodobnie pozostanie podatna na atak tak długo, jak będą używane, ponieważ nie będą aktualizowane.
Google przekonał wielu producentów do zainstalowania Androida w swoich produktach, ale niewielu szybko wprowadza nowe wersje oprogramowania. Google nie ma też żadnego mechanizmu przesyłania aktualizacji bezpośrednio do urządzeń, takich jak te wbudowane w komputerowe systemy operacyjne, w tym Microsoft Windows lub Mac OS.
Ogranicza to zdolność Google do wypychania nowych funkcji i poprawek zabezpieczeń na urządzenia, na których działa jego oprogramowanie. Jak dotąd firma odniosła niewielki sukces w rozwiązywaniu problemu. Na przykład w maju 2011 r. Google ogłosił sojusz Android Upgrade Alliance, w ramach którego operatorzy bezprzewodowi będą szybko wprowadzać aktualizacje Androida przez pierwsze 18 miesięcy życia urządzenia. Ale projekt upadł i nie jest już aktywny. Google nie odpowiedział na prośbę o komentarz.
Niedawno Google starał się ominąć operatorów, przenosząc niektóre funkcje Androida do oddzielnych aplikacji, które użytkownicy mogą aktualizować za pośrednictwem firmowego sklepu z aplikacjami Play. Na przykład YouTube, Gmail i wyszukiwarka Google były kiedyś wbudowane w oprogramowanie Androida, ale teraz są oddzielnymi aplikacjami; Google może przesyłać aktualizacje funkcji i poprawki zabezpieczeń do tych aplikacji bez konieczności współpracy z jakąkolwiek inną firmą. W najnowszych wersjach Androida wbudowany kod przeglądarki jest ukryty przed użytkownikami, którzy zamiast tego używają mobilnej wersji przeglądarki Google Chrome na komputery.
Jednak takie podejście nie obejmuje rdzenia oprogramowania Androida i nie może naprawić błędu wykrytego przez Rapid7. Dirk Sigurdson, dyrektor ds. inżynierii produktu Rapid7 do ochrony urządzeń mobilnych, Mobilesafe, mówi, że urządzeń kupionych od firm innych niż Google nie można uznać za bezpieczne. Na razie najlepiej jest kupić urządzenia Google Nexus lub Google Play, które są znacznie szybciej aktualizowane do najnowszych wersji Androida, mówi.
Od czasu uruchomienia oprogramowania w październiku 2008 r. aktywowano ponad miliard urządzeń z systemem Android, według Google . Urządzenia z Androidem nie są nękane przez złośliwe oprogramowanie w takim stopniu, jak komputery PC, a korzystanie ze sklepów z aplikacjami pomaga ograniczyć rozprzestrzenianie się złośliwego kodu. Mimo to częstość występowania złośliwego oprogramowania rośnie i oczekuje się, że będzie znacznie gorsza (zobacz Intensyfikacja ataków na Androida i nowe modele biznesowe dla złośliwego oprogramowania, które sprowadzają problemy z bezpieczeństwem komputerów na urządzenia mobilne ).
Po tym, jak system operacyjny Microsoft Windows padł ofiarą szerokiej gamy złośliwego oprogramowania, firma stworzyła system, w którym aktualizacje zabezpieczeń były stale rozwijane i wprowadzane na komputery PC. Apple używa podobnego modelu do aktualizowania swoich urządzeń mobilnych. Na przykład we wrześniu, zaledwie tydzień po odkryciu błędu, który pozwalał komuś na: ominąć ekran blokady iPhone'a , Firma wdrożyliśmy poprawkę .
To podejście może również pomóc Androidowi, mówi konsultant ds. bezpieczeństwa Graham Cluley, ale raczej nie będzie atrakcyjne dla Google ze względu na to, jak rozdaje Androida za darmo i pozwala producentom urządzeń i operatorom komórkowym modyfikować oprogramowanie. Podejrzewam, że podstawowym problemem jest to, że nie kontrolują sprzętu i oprogramowania, mówi. Mimo że wszystkie te urządzenia działają pod kontrolą systemu Android, działają na nich różne ulepszone wersje z różnymi interfejsami użytkownika i dodatkami.
Jednym z powodów, dla których firmy nie przekazują dziś aktualizacji Google do Androida, jest to, że wymaga pracy, aby te poprawki nadal działały poprawnie w nowej wersji. Automatyczne aktualizacje mogą zepsuć własne modyfikacje Androida firmy, mówi Cluley.