Tietoturvatiedote juurtuneille käyttäjille: Android-salasanat tallennetaan selkeänä tekstinä

Jotkut saattavat viettää viikonloppunsa rentoutuen uima-altaan äärellä tai pikkulasten syntymäpäiväjuhlissa, jotkut istuvat ja hakkeroivat. Olemme iloisia tässä tapauksessa, kun Cory (Android Central Forums -järjestelmänvalvojamme) löysi jotain, josta hyvä määrä meidän on oltava varovaisia ​​- monissa tapauksissa salasanasi tallennetaan pelkkänä tekstinä sisäiseen tietokannat. Vietimme suuren osan lauantaistamme ongelmien selvittämiseen, Google-koodivirhesivujen tutkimiseen, useiden puhelimien testaamiseen, joissa oli useita ROM-levyjä, ja jopa kutsumalla ammattilaisia ​​selvitykseen. Napsauta taukoa nähdäksesi, mitä löydettiin ja mitä sinun on ehkä katsottava, jos olet juurtanut puhelimesi. [Android Central -foorumit] Ja iso rekvisiitta Corylle!

Selvyyden vuoksi tämä vaikuttaa vain juurtuneisiin käyttäjiin. Se on myös hyvä syy, miksi korostamme ylimääräisiä vastuita, jotka johtuvat juurtuneen käyttöjärjestelmän käyttämisestä puhelimellasi. Jos et ole juurtunut, tämä erityinen asia ei vaikuta sinuun, mutta kannattaa silti lukea, vain mielesi helpottamiseksi, että juurtumattomuus ei ollut oikea valinta.

Käytä hetki ja lue kaikki löydöksemme, jonka Cory on listannut melko hienosti täällä. Yhteenvetona: Tietyt sovellukset, mukaan lukien varastossa oleva Froyo (Android 2.2) -sähköpostiohjelma, tallentavat käyttäjänimesi ja salasanasi pelkkänä tekstinä puhelimen sisäiseen tilitietokantaan. Tämä sisältää POP- ja IMAP-sähköpostitilit sekä Exchange-tilit (mikä saattaa aiheuttaa suuremman ongelman, jos se on myös verkkotunnuksesi kirjautumistiedot). Nyt ennen kuin sanomme taivaan putoavan, mikään puhelimesi ei ole juurtunut, mikään sovellus ei pysty lukemaan tätä. Vahvistimme tämän jopa Kevin McHaffeyn, Lookoutin perustajan ja johtajan kanssa - kuka on aina valmis ojentamaan kättään mobiiliturvallisuuden suhteen, jopa viikonloppuna. Tässä on hänen käsityksensä tilanteesta:

"Android-järjestelmäpalvelu tallentaa accounts.db-tiedoston sovellusten käyttäjätunnusten (esim. Käyttäjänimet ja salasanat) keskitetyksi hallitsemiseksi. Oletusarvoisesti tilitietokannan käyttöoikeuksien pitäisi tehdä tiedosto vain järjestelmän käyttäjän saataville (ts. Lukea + kirjoittaa). Mikään kolmannen osapuolen sovellus ei saa käyttää tiedostoa suoraan. Ymmärrän, että salasanat tai todennustunnukset voidaan tallentaa pelkkänä tekstinä, koska tiedosto on suojattu tiukoilla oikeuksilla. Jotkin palvelut (esim. Gmail) tallentavat todennustunnuksia salasanojen sijaan, jos palvelu tukee niitä, minimoiden käyttäjän salasanan vaarantumisriskin.
Olisi erittäin vaarallista, että kolmannen osapuolen sovellukset voisivat lukea tämän tiedoston, minkä vuoksi on erittäin tärkeää olla varovainen asennettaessa juurihakemusta vaativia sovelluksia. Minusta on tärkeää, että kaikki puhelimensa juurtavat käyttäjät ymmärtävät, että pääkäyttäjänä toimivilla sovelluksilla on * täysi * pääsy puhelimeesi, mukaan lukien tilitietosi.
Jos tilitietokannan olisi oltava muiden kuin järjestelmän käyttäjien käytettävissä (esim. Tiedoston käyttäjän tai ryhmän omistaja) jotain muuta kuin ”järjestelmän” tai maailman lukuoikeudet tiedostossa), se olisi suuri turvallisuus haavoittuvuus. "

Tämän yksinkertaistamiseksi Android on määritetty siten, että sovellukset eivät voi lukea tietokantoja, joihin niitä ei ole liitetty. Mutta kun olet antanut työkalut sovelluksille, jotka suoritetaan pääkäyttäjänä, kaikki tämä muuttuu. Ei vain henkilö, jolla on fyysinen pääsy puhelimeesi, voi tarkastella näitä tiedostoja ja mahdollisesti hankkia kirjautumistunnuksesi tunnistetiedot, voidaan tehdä erittäin ikävä pala haittaohjelmia, joka tekee saman asian ja lähettää tiedot takaisin Koti. Emme löytäneet yhtään tällaista sovellusta luonnosta, mutta ole hyvin varovainen (kuten aina) asennetuista sovelluksista ja lue nuo sovellusten käyttöoikeudet!

Vaikka tämä ei ole huolenaihe suurimmalle osalle käyttäjiä, olisi parempi salata nämä merkinnät tulevissa Android-rakennuksissa. Osoittautuu, joku muu ajattelee niin, ja Googlen Android-ongelmien sivuilla on merkintä, mitkä kiinnostuneet osapuolet voivat tähdellä pysyä ajan tasalla siitä sekä lisätä luetteloa.

Emme todellakaan halua puhaltaa tätä suhteettomasti, mutta tieto on voimaa tällaisissa tilanteissa. Jos olet juurtanut tuon kiiltävän uuden Android-puhelimen, ota muutama ylimääräinen varotoimenpide pysyäksesi turvassa.