सिक्योरिटी वीक 31: एंड्रॉयड पर फिफ्टी शेड्स ऑफ असुरक्षा

लंबे समय तक हमने एंड्रॉइड सुरक्षा के बारे में कुछ नहीं लिखा। सामान्य तौर पर, वहां की स्थिति काफी अच्छी प्रतीत होती है: हमने अभी तक तीन साल पुरानी स्टेजफ्राइट बग जैसी गंभीर समस्याएं नहीं पाई हैं। 2016 से, एंड्रॉइड वन प्रोग्राम विकसित हो रहा है, जिसमें मध्य-श्रेणी के उपकरणों को ओएस का एक ही संस्करण प्राप्त होता है और, तदनुसार, सुरक्षा अपडेट का सबसे तेज़ संभव वितरण। Google के अनुसार, पारंपरिक विक्रेताओं को अपडेट देने की गति भी तेज हो गई है।

लेकिन ऐसा नहीं है कि यह बहुत अच्छा हो गया। हाल ही में, हमने एक असामान्य एंड्रॉइड-स्मार्टफोन के बारे में लिखा था जो दसवां आईफोन था, जिसमें उपयोगकर्ता डेटा की कोई भी सुरक्षा पूरी तरह से अनुपस्थित है। लेकिन यह विदेशी है। लेकिन कंपनी क्रिप्टोवायर ने दुनिया भर में बेचे जाने वाले कई साधारण स्मार्टफोन्स के फर्मवेयर ( समाचार ) का विश्लेषण किया। 25 विभिन्न मॉडलों में गंभीर सुरक्षा छिद्रों की खोज की गई थी।

यह एंड्रॉइड सुरक्षा पर एक स्पष्ट, लेकिन अभी भी काफी ताज़ा नज़र है। Android स्रोत कोड में भेद्यता पाए जाने पर यह एक बात है: एक नियम के रूप में, सभी डिवाइस इसके संपर्क में हैं, लेकिन इसलिए यह जल्दी बंद हो जाता है। एक और बात एक विशिष्ट निर्माता द्वारा स्टॉक एंड्रॉइड के संशोधन के दौरान पेश की गई समस्या है: यह फर्मवेयर में वर्षों तक बैठ सकता है।

आखिर में आपने क्या पाया? अधिकांश कमजोरियाँ परिदृश्य से संबंधित हैं "एक दुर्भावनापूर्ण एप्लिकेशन को उस स्थान तक पहुंच मिलती है जहां इसे नहीं होना चाहिए।" उदाहरण के लिए, एलजी जी 6 फोन पर, विशेष विशेषाधिकार के बिना एक एप्लिकेशन डिवाइस को लॉक कर सकता है ताकि केवल फ़ैक्टरी सेटिंग्स को रीसेट करने में मदद मिलेगी (अन्यथा, एडीबी डीबगिंग इंटरफ़ेस अग्रिम में चालू होने पर अनलॉक करना संभव है)। वहां, सिस्टम लॉग्स तक पहुंचने और उन्हें इंटरनेट के माध्यम से भेजने का अवसर मिला। एसेंशियल फोन में, कोई भी एप्लिकेशन डिवाइस से पूरी तरह से पूरी जानकारी मिटा सकता है। Asus ZenFone 3 Max में किसी भी एप्लिकेशन से सिस्टम विशेषाधिकारों के साथ कमांड निष्पादित करने की क्षमता है।

अच्छी तरह से और इतने पर। DEF CON में कंपनी की प्रस्तुति में, यह नोट किया गया था कि एप्लिकेशन अलगाव मानकों का यह कमजोर होना एक विशिष्ट Android कार्यान्वयन की विशेषताओं के कारण होता है। ओएस के मानक स्टॉक संस्करण में, ऐसी समस्याएं नहीं हैं। यह, ज़ाहिर है, एक सक्रिय बैकडोर के साथ 100+ स्मार्टफोन जैसा महाकाव्य नहीं है, लेकिन ऐसा लगता है कि पहली बार, सुरक्षा अनुसंधान विकास श्रृंखला के साथ आगे बढ़ गया है, केवल एंड्रॉइड कोड का विश्लेषण करने तक सीमित नहीं है। यदि यह कम से कम सौ गुना अयोग्य है, तो इसे एक विशिष्ट सॉफ्टवेयर के लिए, एक विशिष्ट सॉफ्टवेयर के साथ, एक विशिष्ट हार्डवेयर पर काम करने के लिए संशोधित किया जाएगा। लोग ऐसा करते हैं, और वे गलतियाँ कर सकते हैं।

वैसे, चेन के बारे में। DEF CON पर वहां की चेक प्वाइंट कंपनी ने मैन इन द डिस्क जैसे हमले के बारे में बताया ( समाचार , अनुसंधान )। यह आम तौर पर तुच्छ स्थिति के लिए एक फैशनेबल नाम है: जब एक एप्लिकेशन बाहरी मेमोरी में डेटा जोड़ता है और दूसरा इसे संशोधित करता है। एक उदाहरण के लिए, शोधकर्ताओं ने Google अनुवाद, Yandex.Translator, और Xiaomi Browser अनुप्रयोगों को लिया।

इस प्रतीत होता है कि हानिरहित कार्रवाई के बारे में, Google खुद को एंड्रॉइड में अनुप्रयोगों की सुरक्षा के लिए सिफारिशों में लिखता है कि बाहरी मेमोरी से पढ़े गए डेटा की वैधता की जांच की जानी चाहिए, और यह सलाह दी जाती है कि वहां निष्पादन योग्य फ़ाइलों को संग्रहीत न करें। ऐसा इसलिए है क्योंकि इस बाह्य मेमोरी (मोटे तौर पर माइक्रोएसडी कार्ड पर बोलना) तक पहुंच किसी भी अन्य एप्लिकेशन से संभव है।

इसलिए, Google और यैंडेक्स के अनुवादकों में, शोधकर्ताओं ने साझा मेमोरी में संग्रहीत सेवा डेटा को बदलकर एप्लिकेशन को क्रैश करने का कारण बना लिया। यह अपने आप में इतना डरावना नहीं है, लेकिन अन्य कार्यक्रमों में सैद्धांतिक रूप से संभव है कि दोनों अवरोधन और डेटा चोरी को नियंत्रित करते हैं। उदाहरण के लिए, Xiaomi Browser में, एप्लिकेशन को स्वयं दुर्भावनापूर्ण प्रतिलिपि के साथ बदलना संभव था, और सभी क्योंकि ब्राउज़र बाहरी मेमोरी में अस्थायी फ़ाइलों को संग्रहीत करता है।


एक और एंड्रॉइड सिक्योरिटी आर्मगेडन को ऑनलाइन गेम Fortnite के डेवलपर के लिए धन्यवाद दिया जाता है। सबसे पहले, एंड्रॉइड संस्करण अभी भी विकास में है, हालांकि खेल आईओएस के लिए उपलब्ध है। इससे पहले ही कई वेब पेज और वीडियो सामने आ चुके हैं, जो आपको बताते हैं कि एंड्रॉइड स्मार्टफोन पर गेम को कैसे डाउनलोड और इंस्टॉल करना है, स्वाभाविक रूप से, अंत में किसी प्रकार के ट्रोजन और डेटा चोरी के साथ। दूसरे, एपिक गेम्स ने गेम को Google Play ऐप स्टोर पर नहीं रखने का फैसला किया, ताकि Google को सभी उपयोगकर्ता खरीद का महत्वपूर्ण प्रतिशत न चुकाना पड़े। नतीजतन, यहां तक ​​कि जो लोग आधिकारिक तौर पर आधिकारिक ऐप स्टोर में केवल अनुप्रयोगों के लिए खोज करते हैं, वे कहीं और खोज करने के लिए प्रेरित होंगे, और यह अच्छा है अगर वे तुरंत डेवलपर की साइट पर जाएं। और अगर नहीं? हालांकि, मालवेयर डिटेक्ट्स की संख्या को ट्रैक करना काफी आसान होगा। प्रयोगशाला के अनुसार, इस वर्ष के पहले तीन महीनों में, Android सुरक्षा सॉफ्टवेयर द्वारा 1,322,578 दुर्भावनापूर्ण अनुप्रयोगों को अवरुद्ध किया गया था। वैसे, यह पिछली तिमाही की तुलना में कम है। हम अवलोकन जारी रखते हैं।

डिस्क्लेमर: इस डाइजेस्ट में व्यक्त की गई राय हमेशा कास्परस्की लैब की आधिकारिक स्थिति से मेल नहीं खा सकती है। प्रिय संपादकों आमतौर पर स्वस्थ संदेह के साथ किसी भी राय का इलाज करने की सलाह देते हैं।