🧕 👨🏻‍🎨 🍏 सैद्धांतिक रूप से, Xiaomi अपने स्मार्टफ़ोन पर किसी भी एप्लिकेशन को विशेष रूप से बाएँ बैकडोर के माध्यम से स्थापित कर सकता है। 😺 😩 👩🏿‍🤝‍👩🏻

ज़ियाओमी अपने उत्पादन के किसी भी स्मार्टफोन पर किसी भी एप्लिकेशन को दूरस्थ रूप से स्थापित कर सकता है। एक डच कंप्यूटर सुरक्षा छात्र ने अजीब पूर्व-स्थापित एप्लिकेशन AnalyticsCore.apk पर ध्यान आकर्षित करने के बाद यह खुलासा किया, जो कि Xiaomi MI4 स्मार्टफोन 24/7 पर चलता है। AnalyticsCore.apk की उत्पत्ति के प्रश्न के

बाद आधिकारिक तकनीकी सहायता मंच पर ध्यान नहीं दिया गया, Tys Broenink ने इंजन को रिवर्स-इंजन कियाऔर पता चला कि हर 24 घंटे में यह कंपनी के आधिकारिक सर्वर के साथ डेटा का आदान-प्रदान करता है। हर बार, एप्लिकेशन ने IMEI डिवाइस, मैक एड्रेस, डिजिटल हस्ताक्षर और अन्य जानकारी के बारे में डेटा भेजा। यदि सर्वर के पास Analytics.apk के रूप में अपडेट है, तो यह उपयोगकर्ता से किसी भी पुष्टि के बिना स्मार्टफोन पर स्वचालित रूप से इंस्टॉल हो जाएगा।

Taise का मानना है कि Xiaomi का यह विशेषाधिकार प्राप्त एप्लिकेशन स्वतंत्र रूप से उपयोगकर्ता की अनदेखी करने वाली पृष्ठभूमि में इंस्टॉलेशन को लॉन्च करता है। इससे, उन्होंने निष्कर्ष निकाला कि Analytics.apk की आड़ में Xiaomi किसी भी पैकेज को खिसका सकता है और उसे पृष्ठभूमि में जबरन स्थापित कर सकता है।

डच व्यक्ति को इस बारे में कोई जानकारी नहीं मिली कि Xiaomi को इस तरह के पिछले दरवाजे की आवश्यकता क्यों थी। मुख्य समस्या यह है कि एपीटी http प्रोटोकॉल के माध्यम से सर्वर के साथ संचार करता है और डेटा एक्सचेंज मैन-इन-द-मिडिल हमलों के अधीन है।

एक और समस्या यह है कि AnalyticsCore.apk को हटाने के बाद भी, यह फोन पर थोड़ी देर के बाद दिखाई देता है, अर्थात्। साधारण तरीके से इससे छुटकारा पाना असंभव है।

एक निश्चित बिंदु तक, Xiaomi टीम ने आधिकारिक कंपनी तकनीकी सहायता मंच पर AnalyticsCore.apk की चर्चा की सख्ती से अनदेखी की, लेकिन फिर भी इस विषय पर टिप्पणियाँ प्रदान कीं:

AnalyticsCore MIUI सिस्टम का एक अंतर्निहित घटक है और इसका उपयोग MIUI द्वारा डेटा का विश्लेषण करने के लिए किया जाता है ताकि कंपनी डेवलपर्स को उनके उत्पाद UI में सुधार करने में मदद मिल सके।

उसी समय, डेवलपर्स का दावा है कि कोई भेद्यता नहीं है, क्योंकि Analytics.apk एक डिजिटल हस्ताक्षर द्वारा संरक्षित है, जो स्मार्टफोन पर एप्लिकेशन अपडेट स्थापित करने से पहले हमेशा सत्यापित होता है। उनकी राय में, यह घुसपैठियों के खिलाफ पर्याप्त सुरक्षा है।

डिजिटल हस्ताक्षर सत्यापन के कारण AnalyticsCore की आड़ में कोई भी एपीके इंस्टॉल करना संभव नहीं होगा और MIUI संस्करण 7.3 से अप्रैल / मई में अपडेट में हमने HTTPS प्रोटोकॉल के लिए उपयोगकर्ता सुरक्षा के स्तर को बढ़ाने और एक मैन-इन-बीच हमले की संभावना को बाहर करने के लिए समर्थन जोड़ा।

कंपनी ने उपयोगकर्ता के डिवाइस पर Xiaomi द्वारा किसी भी एप्लिकेशन की संभावित जबरन स्थापना पर टिप्पणी करने से परहेज किया।

More articles: