Sigurnosni bilten za ukorijenjene korisnike: Android lozinke pohranjene kao čist tekst

Iako neki svoje vikende mogu provoditi izležavajući se kraj bazena ili na rođendanima za malu djecu, neki sjede i hakiraju. Drago nam je u ovom slučaju, jer je Cory (naš administrator za Android Central Forums) pronašao nešto što je dobar broj trebamo biti oprezni - u mnogim su slučajevima vaše lozinke interno pohranjene kao običan tekst baze podataka. Dobar dio naše subote proveli smo prateći probleme, pretražujući stranice s Googleovim programskim pogreškama, testirajući razne telefone s raznim ROM-ovima, pa čak i tražeći pojašnjenja za profesionalce. Pritisnite pauzu da biste vidjeli što je pronađeno i na što biste mogli paziti ako ste ukorijenili telefon. [Forumi za Android Central] I veliki rekviziti za Cory!

Da budemo jasni, ovo utječe samo na ukorijenjene korisnike. To je također izvrstan razlog zašto ističemo dodatne odgovornosti koje proizlaze iz pokretanja ukorijenjenog OS-a na vašem telefonu. Ako niste ukorijenili, ovaj vas problem neće utjecati na vas, ali svejedno ga vrijedi pročitati, makar samo radi lakšeg razmišljanja da nije ukorjenjivanje bio pravi izbor.

Odvojite trenutak i pročitajte sva naša otkrića, koje je Cory ovdje prilično lijepo nabrojio. Rezimirat ću: Određene aplikacije, uključujući klijent e-pošte Froyo (Android 2.2), pohranjuju vaše korisničko ime i lozinku kao običan tekst u bazu podataka internih računa telefona. To uključuje POP i IMAP poštanske račune, kao i Exchange račune (koji bi mogli predstavljati veći problem ako su to i podaci za prijavu na vašu domenu). Prije nego što kažemo da nebo pada, ako vaš telefon nije ukorijenjen, nijedna aplikacija to ne može pročitati. To smo čak potvrdili i s Kevinom McHaffeyem, suosnivačem i tehničkim direktorom tvrtke Lookout - koji je uvijek spreman pružiti ruku kad je u pitanju mobilna sigurnost, čak i vikendom. Evo njegovog stava o situaciji:

"Datoteku accounts.db sprema android sustav usluga za centralno upravljanje vjerodajnicama računa (npr. Korisnička imena i lozinke) za aplikacije. Prema zadanim postavkama, dopuštenja u bazi podataka računa trebaju datoteku učiniti samo dostupnom (tj. Čitati i pisati) korisniku sustava. Nijedna aplikacija treće strane ne bi trebala moći izravno pristupiti datoteci. Koliko razumijem, lozinke ili tokeni za provjeru autentičnosti smiju se čuvati u običnom tekstu jer je datoteka zaštićena strogim dozvolama. Također, neke usluge (npr. Gmail) pohranjuju tokene za provjeru autentičnosti umjesto lozinki ako ih usluga podržava, umanjujući rizik od ugrožavanja korisničke lozinke.
Bilo bi vrlo opasno da aplikacije trećih strana mogu čitati ovu datoteku, zbog čega je vrlo važno biti oprezan pri instaliranju aplikacija kojima je potreban root pristup. Mislim da je važno da svi korisnici koji korijene svoje telefone shvate da aplikacije koje se pokreću kao root imaju * puni * pristup vašem telefonu, uključujući podatke o vašem računu.
Ako bi baza podataka računa trebala biti dostupna nesistemskim korisnicima (npr. Vlasništvo korisnika ili grupe nad datotekom nešto drugo osim "sustava" ili privilegija čitanja na datoteci) to bi bila velika sigurnost ranjivost."

Da bismo to pojednostavili, Android je postavljen tako da aplikacije ne mogu čitati baze podataka s kojima nisu povezane. Ali kada pružite alate za programe koji će se izvoditi kao root, sve se to mijenja. Ne samo da netko s fizičkim pristupom vašem telefonu može pogledati ove datoteke i možda dobiti vašu prijavu vjerodajnice, mogao bi se stvoriti vrlo gadan zlonamjerni softver koji radi istu stvar i šalje podatke natrag Dom. Nismo pronašli nijedan slučaj ovakvih aplikacija u divljini, ali budite vrlo pažljivi (kao i uvijek) s aplikacijama koje instalirate i pročitajte ta dopuštenja za aplikacije!

Iako ovo ne brine veliku većinu korisnika, bilo bi poželjno šifrirati te unose u budućim Androidovim verzijama. Ispalo je da netko drugi tako misli i postoji unos na Googleovim stranicama s problemima za Android, koje zainteresirane strane mogu označiti zvjezdicom kako bi bile informirane o tome, kao i da ga pojačaju na listi.

To sigurno ne želimo ispuhati u proporcijama, ali znanje je snaga u ovakvim situacijama. Ako ste ukorijenili taj sjajni novi Android telefon, poduzmite nekoliko dodatnih mjera opreza da biste bili sigurni.