Chyba v Androidu umožňuje získat všechna práva bez Roota

Karel Michal , 30. červenec 2014 11:23 4 komentářů

V Androdu se nalézá poměrně fatální chyba, která umožňuje malware získat veškerá práva bez roota. Během úterý na chybu upozornila bezpečnostní společnost Bluebox Security, zranitelnost pojmenovala Fake ID.

Detailní informace bude společnost prezentovat na nadcházející bezpečnostní konferenci Black Hat.

Chyba spočívá v nedostatečném prověřování verifikace. V Androidu jsou jednotlivé aplikace podepisovány certifikátem, který identifikuje tvůrce, využívá se například na potvrzení autenticity u aktualizací. Android využívá PKI infrastrukturu, která identifikuje vše od toho, kde se certifikáty podpisují rodičovskými certifikáty s vytvořením řetězce až po důvěryhodné napevno zabudované kořenové certifikáty. Problém je ale v tom, že od verze Android 2.1 vůbec neprobíhá ověřování korektnosti takovýchto řetězců certifikátů, kterými je aplikace podepsaná.

Android aby si to zjednodušil, kontroluje pouze shodu jmen vydavatelů certifikátů a vůbec již neověřuje správnost kryptografických podpisů, které garantují bezpečnost řetězce.

To pochopitelně umožňuje podepsat aplikaci vlastním certifikátem a podvrhovat tímto způsobem ty důvěryhodné (resp. ty z důvěryhodných zdrojů jako je např. sám Google). Přímý dopad na bezpečnost je ten, že Android systémová oprávnění přiděluje právě na základě potvrzení identity vydavatele skrze jejich certifikáty. Nadstandardní systémová oprávnění mají v Androidu vedle některých aplikací od Google (Google Wallet) například programy Adobe. Pro zabezpečení správného fungování Flashe pro Android 4.3 může například Adobe vkládat tzv. webview plugin kód do dalších aplikací, což mimo jiné umožňuje získání přístupu k jejich uživatelským datům.

Chyba se nalézá ve verzích Androidu od 2.1 po 4.4., verze Android 4.4 KitKat ale mění způsob implementace webview pluginu, takže podvržení certifikátů Flashe již tak snadno zneužít nelze. Google chybu již opravil, různí výrobci ale aktualizují svůj firmware různě rychle, takže na řadě přístrojů může být ještě nějaký čas aktuální.


Komentáře

SpookY #1
SpookY 30. červenec 2014 13:15

Jak donutit výrobce starších zařízení, aby provedli aktualizaci či opravili chybu?

the.max 30. červenec 2014 16:43

Nijak, ale možná pomůže modlitba :-D

g #3
g 30. červenec 2014 17:14

Bezpecnostni oprava mozna uz byla zahrnuta v ramci Z-kove aktualizace X.Y.Z. Google poskytl vyrobcum patch jiz v Dubnu.


RSS 

Komentujeme

Chatbot mluví za mrtvého – od nápadu k realizaci

Pavel Houser , 30. listopad 2016 13:00
Pavel Houser

Na webu The Verge popsala Casey Newton příběh dvou přátel (Eugenia Kuyda a Roman Mazurenko). Peripet...

Více





Kalendář


RSS 

Zprávičky

Telefony Nokia se příští rok vrátí na trh

ČTK , 02. prosinec 2016 10:30

Chytré telefony se značkou Nokia se objeví zpátky na trhu v příštím roce. Finská společnost Nokia dn...

Více 2 komentářů

CETIN nabídne příští rok operátorům připojení až 250 Mbit/s

ČTK , 01. prosinec 2016 17:00

Společnost Česká telekomunikační infrastruktura (CETIN) zvýší od května příštího roku rychlost inter...

Více 0 komentářů

Akcie Samsungu stouply na nový rekord

ČTK , 01. prosinec 2016 12:00

Akcie jihokorejské společnosti Samsung Electronics dnes stouply o více než čtyři procenta na nový re...

Více 0 komentářů

Starší zprávičky

FBI bude moci s povolením soudu pronikat do jakýchkoli počítačů

ČTK , 01. prosinec 2016 10:30

V americkém Senátu dnes selhal poslední pokus o zablokování rozšířených policejních pravomocí, které...

Více 2 komentářů

Gartner:Prodej tabletů v ČR letos klesne o osm procent na 1,1 mil

ČTK , 30. listopad 2016 14:00

Zájem o tablety letos dále klesá. Prodej tabletů a hybridních notebooků na českém trhu se letos sníž...

Více 0 komentářů

Grafen opracovaný laserem

Pavel Houser , 30. listopad 2016 11:00

Na Iowa State University přišli s další metodou pro tištění grafenových součástek. V tomto případě j...

Více 0 komentářů

GFI Software přichází s beta verzí pokročilé cloudové ochrany e-mailu

Petr Velecký , 29. listopad 2016 18:00

Beta verzi své nejnovější cloudové platformy pro zajištění bezpečnosti a kontinuity provozu podnikov...

Více 0 komentářů