Chyba hlavního klíče Android není riziko, pokud se budete držet Google Play

Chyba zabezpečení v operačním systému Android umožňuje útočníkům vzít stávající aplikaci, vložit škodlivý kód a znovu ji zabalit tak, aby mohla předstírat, že je původní aplikací. Měli byste se bát?

Vědci v Bluebox Security zjistili chybu ve způsobu ověřování kryptografických podpisů pro aplikace, Jeff Forristal, technický ředitel společnosti Bluebox, napsal na blogu společnosti 3. července. To znamená, že útočníci mohli aplikaci upravit beze změny kryptografického podpisu, uvedl Forristal.

Tato chyba je od roku Android 1.6 („kobliha“) a způsobila, že „99 procent“ zařízení nebo „jakýkoli telefon s Androidem vydaný v posledních čtyřech letech“ byl náchylný k útoku, prohlásil Forristal.

Strašidelný scénář vypadá takto: legitimní aplikace (například aplikace Google) je upravena tak, aby ukradla hesla nebo připojila zařízení k botnetu a vydala uživatelům ke stažení. Protože obě aplikace mají stejný digitální podpis, bude pro uživatele obtížné vědět, co je skutečné a které je falešné.

No ne tak úplně.

Jsem v nebezpečí?

Google aktualizoval Google Play tak, aby existovaly šeky, které blokují škodlivé aplikace využívající toto zneužití k maskování jako jiná aplikace.

Pokud instalujete aplikace a aktualizace z Google Play, nebudete tímto zneužitím ohroženi, protože Google podnikl kroky k zabezpečení trhu s aplikacemi. Pokud stahujete aplikace z trhů třetích stran, dokonce i z těch polooficiálních, jako jsou prodejny aplikací Samsung a Amazon, jste v ohrožení. Prozatím může být vhodné tyto tržiště odložit.

Google doporučuje, aby uživatelé zůstali daleko od trhů aplikací pro Android od třetích stran.

Co ještě mohu udělat?

Je také důležité si uvědomit, že byste se měli vždy podívat na to, kdo je vývojář. I když se aplikace na trójských koncích vytvoří prostřednictvím Google Play nebo pokud se nacházíte v jiném obchodě s aplikacemi, nebude aplikace uvedena pod původním vývojářem. Pokud například útočníci přebalí Angry Birds pomocí této chyby zabezpečení, nebude nová verze uvedena pod účtem Rovio.

Pokud se chcete ujistit, že nemůžete instalovat aplikace ze zdrojů třetích stran, přejděte do části Nastavení> Zabezpečení a ujistěte se, že není zaškrtnuto políčko pro instalaci aplikací ze „neznámých zdrojů“.

Pokud máte nejnovější verzi systému Android, jste chráněni také vestavěným systémem pro kontrolu aplikací, protože prohledává aplikace, které pocházejí z jiných zdrojů, než je Google Play. To znamená, že i když omylem nainstalujete špatnou aplikaci, váš telefon by mohl škodlivý kód stále blokovat.

Existují také bezpečnostní aplikace pro Android, které mohou detekovat škodlivé chování a upozornit vás na problematickou aplikaci. Společnost PCMag doporučuje naši mobilní editoru Bitdefender Mobile Security.

Je útok pravděpodobný?

„Jenom proto, že„ hlavní klíč “ještě nebyl využit, neznamená to, že si můžeme odpočinout na vavřínech, ” řekl Grayson Milbourne, ředitel bezpečnostní zpravodajské služby ve společnosti Webroot, pro agenturu SecurityWatch . Mobilní zabezpečení by se mělo týkat ochrany zařízení ze všech stran - ochrany identity, která chrání hesla a další osobní informace, blokování škodlivého softwaru a škodlivých aplikací, a schopnost zařízení najít, pokud dojde ke ztrátě nebo odcizení, uvedl Milbourne.

Společnost Bluebox nahlásila chybu společnosti Google v únoru a společnost Google již rozdala záplatu svým hardwarovým partnerům v Open Handset Alliance. Několik výrobců sluchátek již vydalo záplaty k vyřešení problému. Dopravci nyní musí poslat opravu dolů svým koncovým uživatelům.

„Je na výrobcích zařízení, aby vyráběli a vydávali aktualizace firmwaru pro mobilní zařízení (a dále uživatelé, kteří si tyto aktualizace instalují), “ řekl Forristal. Bluebox plánuje odhalit další podrobnosti během konference Black Hat v Las Vegas na konci tohoto měsíce.

Pau Oliva Fora, inženýr s mobilní bezpečnostní společností viaForensics, zveřejnil důkaz o využití zranitelnosti na githubu 8. července. Fora vytvořila shell skript po přečtení podrobností o chybě zveřejněné týmem Cyanogenmod. Cyanogenmod je populární verze systému Android, kterou si uživatelé mohou nainstalovat do svých zařízení. Tým již chybu opravil.

Pokud patříte mezi několik málo šťastných uživatelů, kteří od operátora obdrží aktualizaci pro Android, nezapomeňte si ji stáhnout a nainstalovat ihned. I když jsou rizika nízká, aktualizace operačního systému je prostě dobrý pocit bezpečnosti.