Samsungova tipkovnica imala je eksploataciju zbog koje vjerojatno ne trebate brinuti

Ažuriranje 19. lipnja: Samsung je detaljno opisao što možete učiniti obavezno nabavite popravak za exploit.

Ažuriranje 18. lipnja: Samsung govori Android Central da priprema sigurnosno ažuriranje koje neće morati čekati na potpuno ažuriranje sustava od operatora.

Samsungova osnovna tipkovnica - kao i ona koja se isporučuje na njegovim telefonima - danas je tema članka sigurnosne tvrtke SadaSigurno koji opisuje manu koja omogućuje daljinsko izvršavanje koda na vašem telefonu. Samsungova ugrađena tipkovnica koristi SwiftKey komplet za razvoj softvera za predviđanje i jezične pakete i tu je pronađen exploit.

SadaSigurno je naslovio cijelu stvar s "Otkriven sigurnosni rizik Samsung tipkovnice: Utječe preko 600 milijuna uređaja širom svijeta". To su zastrašujuće zvučne stvari. (Pogotovo kad uključuje svijetlocrvene pozadine i zastrašujuće slike onoga što je općenito poznato kao mrtvo lice.)

Pa, trebaš li se brinuti? Vjerojatno ne. Razdvojimo to.

Prvo što je prvo: Potvrđeno nam je da govorimo o Samsungovoj osnovnoj tipkovnici na Galaxy S6, Galaxy S5, Galaxy S4 i GS4 Mini - i ne inačici SwiftKey koju možete preuzeti s Google Playa ili Apple App Storea. To su dvije vrlo različite stvari. (A ako ne koristite Samsung telefon, očito se ionako ništa od ovoga ne odnosi na vas.)

Kontaktirali smo SwiftKey koji nam je dao sljedeću izjavu:

Vidjeli smo izvješća o sigurnosnom problemu povezanom sa Samsungovom osnovnom tipkovnicom koja koristi SwiftKey SDK. Možemo potvrditi da ova ranjivost ne utječe na aplikaciju SwiftKey Keyboard koja je dostupna putem Google Playa ili Apple App Storea. Izvješća o ovom načinu shvaćamo vrlo ozbiljno i trenutno istražujemo dalje.

Ranije tijekom dana kontaktirali smo i Samsung, ali još nismo dobili nikakav komentar. Ažurirat ćemo ako i kada ga dobijemo.

Čitajući kroz NowSecure tehnički blog o eksploataciji možemo nazrijeti što se događa. (Ako ga sami pročitate, imajte na umu da tamo gdje kažu "Swift" misle "SwiftKey.") Ako ste povezani s nesigurnom pristupnom točkom (poput otvorene Wifi mreže), netko može presretati i mijenjati jezične pakete SwiftKey dok se ažuriraju (što povremeno čine iz očitih razloga - poboljšano predviđanje i što još ne), šaljući podatke vašeg telefona iz napadači.

Biti sposoban za piggyback koji je loš. Ali, opet, ovisi o tome jeste li uopće na nesigurnoj mreži (što zapravo ne biste trebali biti - izbjegavajte javne žarišne točke koje ne koriste bežičnu sigurnost ili razmislite o VPN-u). I netko tko je tu da uopće učini nešto podlo.

A to ovisi o tome imate li neotpakirani uređaj. Kao SadaSigurno sam ističe, Samsungov je već dostavio zakrpe nositeljima. Jednostavno nema pojma koliko ih je gurnulo zakrpu ili u konačnici koliko uređaja ostaje ranjivo.

To je puno varijabli i nepoznanica koje se u konačnici zbrajaju u još jedan akademski podvig (za razliku od onog koji ima stvarne implikacije) koji uistinu treba (i već je) popravljen, iako podvlači važnost operatora koji kontroliraju ažuriranja telefona u SAD-u kako bi se ažuriranja više istisnula brzo.

Ažuriranje 17. lipnja: SwiftKey, u blogu, kaže:

Samsung isporučujemo osnovnu tehnologiju koja pokreće predviđanje riječi na njihovoj tipkovnici. Čini se da je način na koji je ova tehnologija integrirana na Samsung uređaje uveo sigurnosnu ranjivost. Činimo sve što možemo kako bismo podržali svog dugogodišnjeg partnera Samsung u njihovim naporima da riješi ovaj nejasan, ali važan sigurnosni problem.

Predmetna ranjivost predstavlja mali rizik: korisnik mora biti povezan s ugroženom mrežom (kao što je lažne javne Wi-Fi mreže), gdje je haker s pravim alatima posebno namjeravao pristupiti njihovoj uređaj. Taj je pristup tada moguć samo ako korisnikova tipkovnica vrši ažuriranje jezika u to određeno vrijeme, dok je povezana s ugroženom mrežom.