Остання з нескінченних історій безпеки Android вийшла, і цього разу мова йде про те, що програма може отримати доступ, якщо вона не оголошує жодних дозволів. (Якщо говорити по-іншому, то, що може бачити вся програма, якщо вона не вимагає будь-якого звичайного запиту функціональних додатків.) Деякі люди роблять це не про що турбуватися, інші використовують це у своїх пошуках, щоб пом'якшити світ. найпопулярніша ОС мобільного телефону, але ми вважаємо, що найкраще це зробити - це пояснити, що відбувається.
Група дослідників з питань безпеки націлена створити додаток, який не оголошує дозволів, щоб точно з’ясувати, яку саме інформацію вони могли б отримати з системи Android, на якій вона працювала. Такі речі робляться щодня, і чим популярніша мета, тим більше людей дивиться на неї. Ми насправді хочемо, щоб вони робили подібні речі, і час від часу люди знаходять критичні та потребують виправлення речі. Всі виграють.
Цього разу вони виявили, що додаток без дозволів (як ні в одному, нада, пшик) може зробити три дуже цікавих речі. Жоден не є серйозним, але все варто трохи поглянути. Почнемо з карти SD.
Будь-яка програма може читати дані на SD-картці. Це завжди було так, і завжди буде таким. (Написання на SD-карту - це те, що потребує дозволу.) Утиліти доступні для створення захищених прихованих папок та захисту їх від інших додатків, але за замовчуванням будь-які дані, записані на SD-карту, є для будь-якого додатка. Це задумано, оскільки ми хочемо дозволити нашому комп’ютеру отримувати доступ до всіх даних на спільних розділах (як-от SD-карти), коли ми підключаємо їх. Новіші версії Android використовують інший метод розділення та інший спосіб обміну даними, які віддаляються з цього, але тоді ми всі переймаємось використанням MTP. (Якщо ви не Філ, але він трохи не любить MTP.) Це просте виправлення - не кладіть конфіденційні дані на вашу SD-карту. Не використовуйте програми, які ставлять конфіденційні дані на вашу SD-карту. Потім перестаньте турбуватися про те, щоб програми могли бачити дані, які вони повинні бачити.
Наступне, що вони знайшли, є справді цікавим, якщо ти гек - а може читати файл /data/system/packages.list без явного дозволу. Це не представляє ніякої загрози самостійно, але знаючи, які програми встановив користувач, це прекрасний спосіб дізнатися, які подвиги можуть бути корисними для компрометації телефону чи планшета. Подумайте про вразливості інших програм - прикладом, який використовували дослідники, був Skype. Знаючи, що вибух існує, це означає, що зловмисник може спробувати націлити його. Варто зазначити, що для націлювання на відому незахищену програму, ймовірно, потрібні певні дозволи для цього. (А також варто нагадати людям, що Skype швидко визнав і виправив свою проблему дозволів.)
Нарешті, вони виявили, що каталог / proc надає трохи даних при запиті. Їх приклад показує, що вони можуть читати такі речі, як Android ID, версія ядра та версія ROM. У каталозі / proc є багато іншого, але нам потрібно пам’ятати, що / proc не є реальною файловою системою. Погляньте на своє за допомогою root Explorer - він повно 0-байтових файлів, які створюються під час виконання, і призначений для додатків та програмного забезпечення для зв'язку з запущеним ядром. Тут немає збережених реальних конфіденційних даних, і всі вони стираються та переписуються, коли телефон замикається на живлення. Якщо ви переживаєте, що хтось, можливо, зможе знайти вашу версію ядра або 16-значний цифровий ідентифікатор Android, у вас все-таки перешкоджає надсилати цю інформацію куди завгодно без явних дозволів в Інтернеті.
Ми раді, що люди заглиблюються в глибоку проблему, щоб знайти подібні проблеми, і хоча вони не є критичними жодним серйозним визначенням, добре повідомити Google про них. Дослідники, які займаються подібною роботою, можуть зробити речі більш безпечними та кращими для всіх нас. І ми повинні наголосити на тому, що хлопці в Левіафані не говорять про приреченість і похмурість, вони лише представляють факти корисним чином - приреченість і похмурість надходять із сторонніх джерел.
Джерело: Група безпеки Leviathan
