neprihlásený Nedeľa, 29. mája 2016, dnes má meniny Vilma   DonaskaKvetov.sk - donáška kvetov v SR a zahraničí Pošli kvety
Výskumníci našli nový útok na Androidy, nie je proti nemu obrana

Značky: bezpečnosťAndroid

DSL.sk, 22.8.2014
       


Bezpečnostní experti z Michiganskej univerzity a Kalifornskej univerzity v Riverside identifikovali a prakticky overili nový typ útoku na operačnom systéme Android, ktorý umožňuje kradnúť citlivé a napríklad prihlasovacie údaje a proti ktorému v súčasnosti zrejme neexistuje efektívna ochrana.

Nový útok je zároveň zaujímavý z technického hľadiska svojou kreatívnosťou.

Experti totiž zistili, že v operačnom systéme Android je možné s veľmi vysokou presnosťou odhadovať stav aktuálne viditeľnej aplikácie iba z údajov o množstve zdieľanej pamäte využívanej aplikáciou. Táto informácia je ale verejne prístupná všetkým aplikáciám a nevyžaduje žiadne oprávnenia.

Množstvo využívanej zdieľanej pamäte prezrádza informácie o aktuálnej obrazovke zobrazenej v aktuálnej aplikácii kvôli využívaniu tejto pamäte GUI systémom operačného systému. Tieto informácie výskumníkom neumožňujú získať pixelovú podobu aktuálnej obrazovky, umožňujú ale podľa odsledovaných štatistík pre konkrétne aplikácie detekovať ktorú činnosť užívateľ aktuálne v aplikácii realizuje a napríklad presne zistiť moment, keď sa užívateľovi ide zobraziť obrazovka s prihlasovaním.

U viacerých aplikácií, ktoré výskumníci testovali, dosiahlo odhadovanie aktuálnej aktivity presnosť 82% až 92%.


Demonštrácia útoku, užívateľ prihlasovacie údaje a SSN zadáva v skutočnosti do škodlivej aplikácie (video: Qi Alfred Chen)



Útok s využitím týchto informácií tak môže mať následovnú podobu. Aplikácia útočníka, ktorá pre samé vykonanie útoku nepotrebuje vôbec žiadne oprávnenia, beží v pozadí, monitoruje aktívne aplikácie a detekuje aktuálnu činnosť užívateľa. Pri detekovaní spúšťania činnosti, pri ktorej je možné získať zaujímavé informácie, škodlivá aplikácia zobrazí falošnú obrazovku nahrádzajúcu spúšťanú činnosť v práve používanej aplikácii a užívateľ tak tieto dáta zadá do škodlivej aplikácie.

Pri mnohých z týchto činností môže naďalej škodlivá aplikácia zostať užívateľom nedetekovaná, keď môže napríklad po zadaní dát ohlásiť chybu a predať kontrolu opäť pôvodnej aplikácii.

Proti útoku v súčasnosti zrejme nie je efektívna obrana a výskumníci akurát odporúčajú neinštalovať potenciálne nedôveryhodné aplikácie, aj keď nemajú žiadne potenciálne nebezpečné oprávnenia. Škodlivá aplikácia využívajúca tento útok ale samozrejme musí mať niektoré sieťové oprávnenie, aby bola schopná ukradnuté dáta zaslať útočníkom.

Bezpečnostná slabina nie je spôsobená samozrejme ako je jasné z jej povahy konkrétnou chybou ale na prvý pohľad neškodnými informáciami prezrádzanými operačným systémom. Či Google príjme opatrenia a napríklad pristúpi k znepristúpneniu informácií o množstve využívanej pamäte nie je zatiaľ známe.

Slabina rovnakej povahy by sa mala dať využiť podľa výskumníkov pravdepodobne aj na iOS a Windows Phone, na týchto platformách útok ale prakticky neotestovali.


       
      Zdieľaj na Twitteri



Najnovšie články:

Dôchodcovia používajú lepšie heslá ako mladí
TV kanály dostanú mobilní operátori, DVB-T čakajú veľké zmeny
Prvá karta pre rýchlejší 5 Gbps Ethernet po existujúcich kábloch
Tesla so samojazdiacou funkciou havarovala na diaľnici
Európu a USA spojí nový najrýchlejší optický kábel, zaplatia si ho Microsoft a Facebook
Osud Lumií na Slovensku neistý, Microsoft sa zameria len na 18 krajín
Google nemusí Oraclu za Java API zaplatiť nič, vyhral súd
Nafukovací modul na ISS sa nevedel nafúknuť, NASA nafúknutie odložila
USA koordinujú nukleárne zbrane pomocou 8" diskiet a kódu napísaného v assembleri
4G LTE na Slovensku rastie počet používateľov aj prenesené dáta, za EÚ zaostávame


Diskusia:
                               
 

Minimalne musi mat opravnenie "Draw on top of other applications"
Odpovedať Známka: 0.6 Hodnotiť:
 

Evidentne nie, oprávnenia ukazujú aj na tomto videu. Tá aplikácia zobrazuje do popredia svoju štandardnú vlastnú Activity, na čo zrejme oprávnenie nie je treba.
Odpovedať Známka: 9.2 Hodnotiť:
 

Aha, zaujimave.
Odpovedať Známka: 10.0 Hodnotiť:
 

Akurát ze mozes spravit a nastavit system tak, ze po zhasnuti displeja sa zastavia vsetky aplikacie . Ja osobne nepotrebujem, aby ziadna aplikacia bezala na pozadi. Nakoniec takmer vsetko, co nepoznam mam zastavene a zakazane.
Odpovedať Známka: 6.9 Hodnotiť:
 

treba si každý týždeň zmeniť heslo.

3#kdilxLKd
dks&kdosC3

...
Odpovedať Hodnotiť:
 

Stačí vždy prvý raz zadať zlé heslo a až na druhy pokus správne.
Odpovedať Známka: 6.8 Hodnotiť:
 

Och ake jednoduche a prakticke! Uzasny android!
Odpovedať Známka: 2.0 Hodnotiť:
 

kde nechali zvuk na videu?
Odpovedať Známka: 3.3 Hodnotiť:
 

Pokiaľ viem, na iOS nemôže appka bežať len tak v pozadí a podľa svojho uváženia zobraziť používateľovi svoju obrazovku, pokiaľ ju explicitne nespustí.
Odpovedať Známka: 6.3 Hodnotiť:
 

a email ti ako funguje? Vzdy ho spustas po restarte?
Odpovedať Známka: -2.0 Hodnotiť:
 

Email nebezi na pozadi, len push notifikacie
Odpovedať Známka: 8.5 Hodnotiť:
 

Očividne si ho nepochopil. Vraví, že na ios sa aplikácia nemôže dať sama od seba do popredia (otvoriť v "okne"), spustiť pri štarte sa môže
Odpovedať Známka: 7.8 Hodnotiť:
 

Email su len notifikacie to je nieco ine. Notifikacie idu cez Apple servery, appka nemusi bezat. A co sa tyka appiek na pozadi, musis to mat zapnute v nastaveniach, kazdu appku zvlast, co ja mam vypnute vsetky. A appka na iphone sa sama zastavi po nejakom case.
Odpovedať Známka: 2.0 Hodnotiť:
 

Dalo by sa pred tym branit napriklad tak, ze by novsia verzia OS poskytovala udaje o pouzivanej pamäti zaokruhlene napriklad na desiatky alebo stovky MB.
Odpovedať Známka: 5.6 Hodnotiť:
 

ja zas "dakujem" androidu, ze v 4.4 obmedzili prava pre pristup k wakelockom. clovek bez root teraz fakt nezisti, ktora app mu vyziera baterku o 50% rychlejsie.
Odpovedať Známka: 9.1 Hodnotiť:
 

google Android totálně ničí
bohužel, hlavní slovo mají tzv. designéři, kteří omezují Android tak, že z něho za pár let bude omezená cihla s názvem iOS
Odpovedať Známka: -3.3 Hodnotiť:
 

2014: kvoli snowdonovskym prevaleniam nemecke a ruske tajne sluzby seriozne uvazuju o navrate k pisacim strojom.

2027: rafinovany virus v adroide so starsim kernelom 6.6 sposobuje uzivatelom vazne problemy pri plateni smart zariadeniami, experti odporucaju navrat k debetnym a kreditnym kartam, pripadne nakum noveho zariadenia s kernelom 6.9, kedze od roku 2023 su predavene smart zariadenia natrvalo zviazane so svojim OS
Odpovedať Známka: -2.0 Hodnotiť:
 

2014: ruske tajne sluzby pouzivaju pisacie stroje bezne. dokonca aj minaju nehorazne prachy na zabezpecene elektronicke pisacie stroje, ktore nie je mozne sledovat.

2027: je to linux, hadam od toho necakas nejaku bezpecnost?
Odpovedať Známka: -5.5 Hodnotiť:
 

2039: kvoli rafinovanemu virusu zneuzivajucim FRX instrukcnu sadu v Gluon CPU od Intelu, sa dostavaju do vaznych problemov vsetky zariadnia internetu veci s globalnym firmverom starsim ako verzia 2.003. Uzivatelom je odporucane robit veci rucne, pripadne si zakupit nove zariadenie internetu veci. Utok bol demonstrovany na 47th Avenue v NY, kde utocnici otvorili dvere na vsetkych bytovych domoch medzi krizovatkami 9. a 11. street, kde rovnako nastavili neumerne vysoku teplotu v budovach na smart-klimatizacii, k comu este odstavili smart-chladnicky v tychto bytovych domoch. Incident sa tykal 1738 bytov.

2041: cele rusko zvazuje navrat ku klasickym mobilnym telefonom bez internetu, ake existovali priblizne do roku 2005
Odpovedať Známka: 2.6 Hodnotiť:
 

2057: hackeri zo skupiny Anonymous rozsirili novy skodlivy kod pre procesory AMD QuantumFX. Kod sposobi vygenerovanie ciernej diery vnutri napadnuteho zariadenia, cim dojde k vymazaniu vsetkych uzivetelskych dat, ako aj uzivatela.
Odpovedať Známka: 5.2 Hodnotiť:
 

netrep .. na rok 2035(az 2045) je odhadovana technologicka singularita .. ziadny krok spat nieje mozny
Odpovedať Známka: 2.0 Hodnotiť:
 

no sak prave to bude zaciatok konca ... prve priznaky sa prejavuju uz teraz

- decko nevie jak vyzera motyka, ryl, lopata, psenica, mrkva, ale vie hned ovladat kazdy smart-blb-lopato-tableto-fon co dostane do paprce

- vieme co sa robi na druhom konci planety, mame 794 "priatelov" na soc.sietach, ale suseda sme v zivote nevideli

- bez internetu sa 30tnici citia ako nahi, bez stavu byt online sa 20tnici citia ako nahi, bez dementneho smart-blb-lopato-tableto-fonu sa teenageri citia ako nahi
...
Odpovedať Známka: 6.0 Hodnotiť:
 

teraz som bol 2 tyzdne na dovolenke bez mobilu a internetu. Jedine, co mi chybalo bolo, ze som nemal ako zistit kolko je hodin, aby som sa mohol ist nazrat na ranajky/obed/veceru!
Odpovedať Známka: 1.1 Hodnotiť:
 

All Inclusive ;)

A na to, aby som zistil, ci som hladny nepotrebujem ziadnu appku - resp. mi taka bezi na pozadi neustale :P

Odpovedať Známka: 8.8 Hodnotiť:
 

Na zistenie aktualneho casu vymysleli uz pred daavnymi rokmi jeden pristroj. Vola sa to ze hodinky.
Odpovedať Známka: 8.3 Hodnotiť:
 

hej, ale vybrat si a kupit si dobre hodinky trva chlapovi dlhsie ako zenskej kupit nove saty, kabelku a lodicky :)
Odpovedať Známka: 6.9 Hodnotiť:
 

Neviem preco tie minusky, pravdu mas.
Odpovedať Známka: 5.0 Hodnotiť:
 

prene pre toto sa idem vypojit z tohtcho konzumno materialneho sveta
Odpovedať Známka: 0.0 Hodnotiť:
 

Ked skocis z Apolla, neobjavis sa niekde v kanalizacii a nevtiahne ta Morpheus na Nabuchonodozore, takze bacha na vec...
Odpovedať Známka: 6.0 Hodnotiť:
 

incident sa tykal 1,7 megabytu :D
Odpovedať Známka: 0.0 Hodnotiť:
 

(nenapadne zakaslanie, aby si diskutujuci, na ktoreho reagujem overil, ci nahodou nenapisal kktinu) :-)
Odpovedať Známka: 3.3 Hodnotiť:
 

chcel napisat 1,7 kilobytu
Odpovedať Hodnotiť:
 

...a že aký je skvelý Android.

Odpovedať Známka: -2.2 Hodnotiť:
 

Tak už len treba, aby títo hackeri naprogramovali správne zobrazované obrazovky. Lebo keď sa budem prihlasovať do IB a oni mi zobrazia stránku pokecu, tak si asi všimnem, že to nie je tá správna obrazovka.
Odpovedať Známka: 10.0 Hodnotiť:
 

Iboys aleno internet banking?
Odpovedať Známka: 6.7 Hodnotiť:
 

staci si nainstalovat DroidWall alebo iny IP Tables based firewall a moze si ta ich apka robit co chce :v
Odpovedať Známka: -3.3 Hodnotiť:
 

Len aby ten tvoj DroidWall nebol alias pre nejaky sniffer ...
Odpovedať Známka: -2.0 Hodnotiť:
 

Jedina ochrana je nieco ine ako Andeoid. Ake jednoduche.


Hahaha.


Vyriesena cela zahada a aj tie buduce...

;)
Odpovedať Známka: -5.0 Hodnotiť:
 

tak, tak... kazdy, kto pouziva akykolvek linux pri praci s citlivymi udajmi, si koleduje o pruser.
Odpovedať Známka: -6.0 Hodnotiť:
 

Absolútna kokotina. Poznám veľa šudí, ktorí by sa kôli bezpečnosti neprihlásili z widiel ani na fuckbook, nieto ešte do banky, hoci pravda je niekde uprostred.
Každý nezabezpečený systém je nebezpečný. Pre bezpečnosť Linuxu väčšinou nemusíš robiť nič (akurát to neposrať), pre bezpečnosť widiel potrebuješ aktívny prístup a ani vtedy nemáš 100% istotu kto všetko tvoje dáta číta (okrem M$ rôzne trojpísmenkové agentúry - NSA, CIA atď).
Odpovedať Známka: 4.3 Hodnotiť:
 

Mam WP a je mi ukradnute, ci si nejaka trojpismenkova agentura cita tie blbosti, co si pisem s kamosmi a priatelkou. Nech si kludne prezeraju aj fotky, nic z nich nezistia. Nie som ziaden agent, ani milionar, iba dalsi bezny obšťan tejto planety akych su miliony. Netrpim paranojou a aj keby si niekto tie sracky cita, zabije tym jedine cas, nic viac :) Takze, anderoidaci, pekne si instalujte firewally, heslujte lockscreeny kodmi, patternmi a neviem este cim, pretoze vsetci tuzia len po vasich datach a tych par smiesnych € co mate na ucte vy paranoidni chudaci :)
Odpovedať Známka: 2.0 Hodnotiť:
 

WP neumoznuje takyto beh aplikacii na pozadi ani monitorovanie, ani samovolne otvaranie okien ani prebijanie aplikacie do popredia.
Odpovedať Známka: -3.8 Hodnotiť:
 

citit z tvojho prispevku, ze aky je WP vzneseny, ale zase vsetko ma svoje + a -, vyhodou Androidu je ze ma sice vela takychto "nebezpecnych veci" ale daju sa potom spravit hocijake aplikacie a nie si obmedzeny.. akurat si musis davat pozor co stahujes..
Odpovedať Známka: 3.3 Hodnotiť:
 

Skoro ako windows:)
Odpovedať Známka: -5.0 Hodnotiť:
 

Android fanboys ta vyminuskovali, ale to nevadi, deti ostanu detmi :)
Odpovedať Známka: 6.0 Hodnotiť:
 

A ty pravdepodobne masturbujes nad tym zelenym droidom, ked vypustis nieco taketo do sveta. Tak si moj mily davaj dalej pozor na vsetko, na co kliknes, my WP "vzneseni" budeme dalej svoje telefony realne pouzivat :)
Odpovedať Známka: 6.7 Hodnotiť:

Pridať komentár