Článek

Zranitelnost QuadRooter: 5 věcí, které byste měli vědět o tomto bezpečnostním děsu pro Android

Ještě jednou Děsivá sezóna zabezpečení Android. Dnes ráno se objevily zprávy o nejnovější kolekci zranitelností, které objevila bezpečnostní firma Check Point a seskupila je pod chytlavý přezdívku „QuadRooter“. Většina zpráv se jako obvykle zaměřila na nejhorší scénáře a šokující obrovské množství potenciálně zranitelných zařízení - v tomto případě odhadem 900 milión.

Rozložíme přesně to, co se děje, a to, jak zranitelný pravděpodobně budete. Číst dál.

1. Je to věc Qualcomm

Check Point se konkrétně zaměřil na Qualcomm díky své dominantní pozici v ekosystému Android. Protože tolik telefonů Android používá hardware Qualcomm, ovladače Qualcomm přispívají k softwaru na těchto zařízeních telefony tvoří atraktivní cíl - jedinou skupinu zranitelností ovlivňujících velkou část Androidu uživatelská základna. (Konkrétně chyby ovlivňují síťový, grafický a alokační kód paměti.)

Všechny čtyři exploity, které tvoří QuadRooter, ovlivňují ovladače Qualcomm, takže pokud máte telefon, který nepoužívá žádný hardware Qualcomm vše - například Galaxy S6 nebo Note 5 (který používá vlastní procesor Exynos společnosti Samsung a modem Shannon), na vás se nevztahuje tento.

Verizon nabízí Pixel 4a za pouhých 10 $ / měsíc na nových linkách Unlimited

2. Je to vážné, ale neexistují žádné důkazy o jeho použití ve volné přírodě

Jak název napovídá, QuadRoot je kolekce čtyř exploitů v kódu Qualcommu, které by mohly škodlivé aplikaci umožnit získat oprávnění root - tj. Přístup k tomu, aby v telefonu mohl dělat v podstatě cokoli. Odtamtud si můžete vymyslet libovolný počet scénářů noční můry: útočníci naslouchající na telefonu hovory, špionáž prostřednictvím fotoaparátu, krádež finančních údajů nebo zamykání dat pomocí ransomware.

Nikdo nemluví o tom, že se tyto exploity používají ve volné přírodě, což je dobrá věc. (Check Point odhaduje, že padouchy to zabalí do fungujícího malwaru do tří nebo čtyř měsíců.) Nicméně vzhledem k výzvám Tvůrci malwaru, kteří se podílejí na aktualizaci softwaru na více než miliardách zařízení Android, budou mít spoustu času přijít na praktickou stránku aplikace.

Ale...

3. Je pravděpodobné, že nejste „zranitelní“

QuadRooter je jedním z mnoha Problémy se zabezpečením systému Android která vyžaduje ruční instalaci aplikace. To znamená ručně přejít do nastavení zabezpečení a přepnout zaškrtávací políčko „Neznámé zdroje“.

Jakýkoli vuln, který vyžaduje ruční instalaci aplikace, narazí na dva hlavní překážky: Obchod Play a integrovanou funkci „Ověřit aplikace“ v systému Android.

Vzhledem k tomu, že společnost Check Point poprvé odhalila chyby zabezpečení v dubnu, Google téměř jistě už nějakou dobu skenuje aplikace Play Store pro tyto exploity. To znamená, že budete v pořádku, pokud si stejně jako většina lidí stáhnete aplikace pouze z Obchodu Play.

A i když to neuděláte, funkce Android „Ověřit aplikace“ je navržena tak, aby fungovala jako další vrstva ochrany a před instalací skenovala aplikace ze zdrojů třetích stran a hledala známý malware. Tato funkce je ve výchozím nastavení povolena ve všech verzích systému Android od verze 4.2 Jelly Bean z roku 2012 a protože je součástí služeb Google Play, neustále se aktualizuje. Jak nejnovější statistiky k dispozici, více než 90 procent aktivních zařízení Android používá verzi 4.2 nebo novější.

Nemáme výslovné potvrzení od Googlu, že „Ověřit aplikace“ skenuje QuadRooter, ale vzhledem k tomu, že Google byl informován před několika měsíci, je pravděpodobné, že ano. A pokud ano, Android identifikuje jakoukoli aplikaci přechovávající QuadRooter jako škodlivou a zobrazí velkou děsivou varovnou obrazovku, než vám umožní dostat se kamkoli poblíž instalace.

Aktualizace: Google potvrdila že aplikace Verify mohou detekovat a blokovat QuadRooter.

V takovém případě jste stále „zranitelní?“ Studna technicky. Je možné, že přejdete do Nastavení zabezpečení, povolíte Neznámé zdroje a poté budete ignorovat varování na celou obrazovku, že se chystáte nainstalovat malware, a deaktivovat další nastavení zabezpečení jinde. Ale v tom okamžiku je to do značné míry na vás.

4. Zabezpečení systému Android je těžké, dokonce is měsíčními opravami

Jedním zajímavým aspektem ságy QuadRooter je to, co nám ukazuje o bezpečnostních výzvách Androidu, které stále přetrvávají, a to i ve světě měsíčních bezpečnostních oprav. Tři ze čtyř zranitelností jsou opraveny v nejnovějších opravách ze srpna 2016, ale jedna zjevně proklouzla trhlinami a bude opravena až v září. To je důvod pro oprávněné obavy vzhledem k tomu, že ke zveřejnění došlo v dubnu.

Řekl však zástupce společnosti Qualcomm ZDNet že výrobce čipů vydával vlastní opravy výrobcům v období od dubna do července, takže je možné, že některé modely mohly být aktualizovány mimo mechanismus opravy Google. To jen podtrhuje nejasnosti spojené s výslovnou úrovní opravy od Googlu, zatímco výrobci zařízení a výrobci komponent také poskytují opravy zabezpečení.

Jediným způsobem, jak zjistit, zda je váš telefon teoreticky zranitelný, je stáhnout si Check Point Aplikace skeneru QuadRoot z Obchodu Play.

I když jsou opravy vydány, je třeba je před odesláním do telefonu projít výrobci zařízení a operátory. A i když některé společnosti, jako je Samsung, BlackBerry a (přirozeně) Google, se ujistily, že jsou k dispozici nejnovější patche, rychle k dispozici, většina lidí, kteří vyrábějí zařízení Android, není zdaleka tak aktuální - zejména pokud jde o starší nebo levnější telefony.

QuadRooter podtrhuje, jak všudypřítomnost zařízení Android se systémem Qualcomm z nich dělá atraktivní cíl, zatímco rozmanitost hardwaru jako celku znemožňuje jejich aktualizaci téměř nemožné.

5. Už jsme tu byli

  • Chytlavý marketingový název? Šek.
  • Velký děsivý počet „zranitelných“ zařízení? Šek.
  • Bezplatná detekční aplikace prodávaná bezpečnostní společností s produktem k prodeji? Šek.
  • Žádné důkazy o použití ve volné přírodě? Šek.
  • Chcete zcela ignorovat obchod Play a ověřit aplikace jako překážku proti exploitům založeným na aplikacích? Šek.

Je to stejný tanec, jaký děláme každý rok kolem času na bezpečnostní konferenci. V roce 2014 to bylo Falešné ID. V roce 2015 to bylo Tréma. Pochopení problémů se zabezpečením systému Android v médiích bohužel zůstalo žalostné, a to znamená, že čísla jako „900 milionů“ ovlivněných se odrážejí kolem ozvěny bez kontext.

Pokud jste chytří ohledně aplikací, které instalujete, není důvod se obávat. A i když nejste, je pravděpodobné, že máte služby Play a Verify Apps budou mít vaše záda.

VÍCE: Malware pro Android - měli byste se bát?

Poslouchali jste tento týden Android Central Podcast?

Android Central

Každý týden vám Android Central Podcast přináší nejnovější technologické novinky, analýzy a zajímavé záběry se známými hostiteli a speciálními hosty.

  • Přihlaste se k odběru do kapesních her: Zvuk
  • Přihlaste se k odběru ve Spotify: Zvuk
  • Přihlásit se k odběru v iTunes: Zvuk

Můžeme získat provizi za nákupy pomocí našich odkazů. Zjistit více.

Jedná se o nejlepší bezdrátová sluchátka, která si můžete koupit za každou cenu!
Je čas přestřihnout šňůru!

Jedná se o nejlepší bezdrátová sluchátka, která si můžete koupit za každou cenu!

Nejlepší bezdrátová sluchátka jsou pohodlná, skvěle zní, nestojí příliš mnoho a snadno se vejdou do kapsy.

Vše, co potřebujete o PS5 vědět: Datum vydání, cena a další
Další generace

Vše, co potřebujete o PS5 vědět: Datum vydání, cena a další

Společnost Sony oficiálně potvrdila, že pracuje na PlayStation 5. Tady je vše, co o tom zatím víme.

Nokia uvádí na trh dva nové levné telefony Android One s cenou do 200 $
Nové Nokie

Nokia uvádí na trh dva nové levné telefony Android One s cenou do 200 $.

Nokia 2.4 a Nokia 3.4 jsou nejnovější přírůstky do řady levných smartphonů HMD Global. Jelikož jsou obě zařízení Android One, je zaručeno, že budou dostávat dvě hlavní aktualizace operačního systému a pravidelné aktualizace zabezpečení až na tři roky.

Zde jsou nejlepší případy pro Galaxy S10
To nejlepší, co můžete získat

Zde jsou nejlepší případy pro Galaxy S10.

I když to není nejnovější telefon, Galaxy S10 je jedním z nejhezčích a nejklouzavějších telefonů na trhu. Nezapomeňte jej vybavit jedním z těchto případů.

instagram story viewer