Saat yang cerdas ketika Anda menulis intisari profetik. Masalah terakhir
adalah tentang risiko keamanan di Android, khususnya tentang kerentanan seperti Man-in-the-disk, serta perilaku Epic Games yang tidak sportif (semua demi uang), yang menolak untuk menjadi tuan rumah game Fortnite di Google Play store. Pada 25 Agustus, solitaire datang bersama: Google dengan tokonya, Epic Games dengan versi beta Fortnite, dan bahkan kerentanan man-in-the-disk masuk ke dalam hubungan intim, sehingga menimbulkan skandal berukuran sedang.
Awalnya, itu adalah masalah fakta bahwa secara teknis pemain yang cerdas di Fortnite, setelah tidak menemukan versi Android di Google Play Store resmi, akan pergi mencarinya di tempat lain dan menginstal sesuatu yang salah pada smartphone. Jika sekarang Anda pergi ke appstore dari ponsel cerdas Anda dan mencari Fortnite di sana, Google bahkan akan menampilkan pesan khusus, seperti pada gambar di atas, sehingga Anda tidak menginstal aplikasi klon dari toko. Tapi, ternyata, installer Fortnite sendiri rentan - tidak hanya benar-benar mengerikan dalam skenario, tetapi tetap saja.
Kerentanan ditemukan pada 15 Agustus oleh Google, rincian teknisnya diterbitkan di
bugtracker mereka. Masalahnya identik dengan yang Check Point (yang dibahas lebih rinci dalam
intisari nomor 31 ). Sebagaimana diterapkan pada Fortnite, ternyata begini: pengguna mengunduh penginstal dari situs, yang tugasnya hanya menemukan dan menginstal game itu sendiri.
Pemasang mengunduh dan menyimpan file game ke memori eksternal. Aplikasi apa pun yang juga memiliki akses ke memori eksternal dapat menimpa file ini. Pemasang kemudian memulai pemasangan game, tidak curiga bahwa itu sudah memulai sesuatu yang salah: keaslian file yang diunduh tidak diverifikasi. Selain itu, Anda dapat membuat Fortnite palsu secara otomatis, tanpa memberi tahu pengguna, mendapatkan akses ke data pribadi. Ketika aplikasi menggunakan versi SDK tertentu, telepon bahkan tidak akan meminta izin kepada pengguna (yang masih disetujui secara default dalam kebanyakan kasus).
Masalahnya dipecahkan secara sederhana: Anda perlu menyimpan penginstal ke memori internal, di mana hanya aplikasi yang membuatnya memiliki akses ke file. Faktanya, itulah yang dilakukan Epic Games, menghilangkan kerentanan dalam dua hari. Peneliti Google memberi tahu pengembang pada 15 Agustus, masalah ke 17 diselesaikan. Tujuh hari kemudian, pada tanggal 24 (Jumat malam), dengan kepatuhan penuh dengan aturan pengungkapan untuk kerentanan yang diikuti Google, informasi itu diposting di domain publik.
Inti dari skandal itu sederhana: konflik kepentingan telah terjadi di pihak Google. Perusahaan mengambil 30% dari setiap penjualan dalam aplikasi yang diposting di Google Play. Epic Games tidak berencana menempatkan Fortnite di toko resmi, agar tidak membayar biaya ini. Gim ini sudah populer - promosi tambahan yang disediakan oleh platform Google sendiri tidak diperlukan. Tentu saja, pengembang game menjelaskan keputusan ini bukan oleh masalah moneter, tetapi oleh "keinginan untuk mengembangkan saluran distribusi alternatif" atau sesuatu seperti itu. Meskipun versi Android dari permainan ini disajikan sebagai versi beta di situs web Epic Games, di toko aplikasi Samsung itu tersedia begitu saja dan diiklankan dengan dua spanduk iklan sekaligus, pasti.
Dalam korespondensi dengan Google, perwakilan dari Epic Games melaporkan solusi untuk masalah ini, tetapi meminta untuk tidak mempublikasikan informasi tentang kerentanan sampai berakhirnya standar untuk pengungkapan informasi yang bertanggung jawab selama sembilan puluh hari. Google menolak: jika ada perbaikan dan dapat diakses oleh massa, maka tidak ada gunanya menyembunyikannya. Sebagai tanggapan, CEO Epic Games, dalam komentarnya tentang Mashable,
menuduh Google tidak bertanggung jawab.
Siapa yang benar Google belum melanggar aturannya untuk menangani informasi kerentanan berbahaya. Komentar di bugtracker dengan tepat mengatakan bahwa jika aplikasi didistribusikan melalui Google Play, tidak akan ada masalah - Anda tidak perlu memagari taman dengan "installer installer". Di sisi lain, Google seharusnya menyadari situasi konflik, dan siapa yang menyebabkan masalah bagi perusahaan lain dengan menerbitkan informasi pada hari Jumat pukul tujuh malam? Apakah kerentanannya sangat berbahaya? Ternyata pengguna harus sudah memiliki aplikasi pada smartphone yang memiliki niat buruk - melalui kode Fortnite berlubang, mencuri data pribadi.
Pengalaman menunjukkan bahwa tidak ada hal sepele dalam keamanan informasi. Dalam situasi lain, ini akan menjadi pertukaran informasi yang normal: kami menemukan masalah, Anda memperbaikinya, semuanya baik-baik saja. Di sini, diskusi seputar kerentanan rutin segera dipolitisasi. Kisah ini lebih tentang kurangnya kepercayaan. Lain kali, seseorang akan menemukan kerentanan dalam perangkat lunak, melaporkannya kepada pabrikan, dan dia akan dengan sengaja menarik jawaban, meminta informasi tambahan, dan tidak mengakui bahwa lubang telah lama ditutup. Dalam suasana yang "sehat", "ramah", kemungkinan menembak kaki hanya akan meningkat.
Apa lagi yang terjadi?Kaspersky Lab menyelidiki kampanye baru kelompok Lazarus (yang diduga menyerang Sony Pictures pada 2014), dan ada beberapa jenis film aksi yang sulit: ia menargetkan Mac OS X untuk pertama kalinya, menggunakan trojan canggih yang dikirim dari situs pertukaran palsu untuk dijual cryptocurrency
palsu . Secara singkat ditulis dalam bahasa Rusia di
sini , secara rinci dalam bahasa Inggris di
sini .
OpenSSH menutup kerentanan yang tidak terlalu serius (kebocoran nama pengguna yang tidak disengaja) yang telah ada dalam kode selama 19 tahun sejak rilis versi pertama dari paket perangkat lunak. Qualys
mengklaim bahwa
penutupan itu tidak disengaja - masalahnya ditemukan bukan sebelum memperbarui kode, tetapi setelah.
Google telah
dituntut untuk melacak pengguna ketika mereka tidak mau, setelah
penyelidikan baru-baru ini
oleh Associated Press. Ternyata menonaktifkan posisi tidak sepenuhnya menonaktifkannya.
Penafian: Semuanya sangat rumit, dan tidak mudah. Hati-hati dan hati-hati.