Bollettino sulla sicurezza per utenti root: password Android memorizzate come testo in chiaro

Mentre alcuni possono trascorrere i fine settimana sdraiati a bordo piscina o alle feste di compleanno dei bambini, alcuni si siedono e si divertono. Siamo contenti in questo caso, poiché Cory (il nostro amministratore di Android Central Forum) ha trovato qualcosa di cui un buon numero dobbiamo stare attenti: in molti casi le password vengono archiviate come testo normale in internal banche dati. Abbiamo trascorso gran parte del nostro sabato a rintracciare i problemi, a setacciare le pagine dei bug di codice di Google, testare vari telefoni con varie ROM e persino a chiamare i professionisti per chiarimenti. Fai una pausa per vedere cosa è stato trovato e cosa potresti dover controllare se hai effettuato il root del telefono. [Forum di Android Central] E grandi oggetti di scena a Cory!

Per essere chiari, questo riguarda solo gli utenti rooted. È anche un ottimo motivo per sottolineare le responsabilità aggiuntive che derivano dall'esecuzione di un sistema operativo rootato sul telefono. Se non hai effettuato il root, questo particolare problema non ti interesserà, ma vale comunque la pena leggerlo se non altro per farti capire che non fare il root è stata la scelta giusta.

Prenditi un momento e leggi tutti i nostri risultati, che Cory ha elencato abbastanza bene qui. Riassumo: alcune applicazioni, incluso il client di posta elettronica Froyo (Android 2.2), memorizzano il nome utente e la password come testo normale nel database degli account interni del telefono. Ciò include gli account di posta POP e IMAP, nonché gli account di Exchange (il che potrebbe rappresentare un problema maggiore se si tratta anche delle informazioni di accesso al dominio). Ora, prima di dire che il cielo sta cadendo, se il tuo telefono non è rootato, nessuna applicazione è in grado di leggerlo. Lo abbiamo anche confermato con Kevin McHaffey, il co-fondatore e CTO di Lookout - sempre pronto a dare una mano in materia di sicurezza mobile, anche nel fine settimana. Ecco la sua opinione sulla situazione:

"Il file accounts.db viene archiviato da un servizio di sistema Android per gestire centralmente le credenziali dell'account (ad es. Nomi utente e password) per le applicazioni. Per impostazione predefinita, le autorizzazioni sul database degli account dovrebbero rendere il file accessibile (cioè lettura + scrittura) solo all'utente del sistema. Nessuna applicazione di terze parti dovrebbe essere in grado di accedere direttamente al file. La mia comprensione è che le password o i token di autenticazione possono essere archiviati in testo normale perché il file è protetto da autorizzazioni rigorose. Inoltre, alcuni servizi (ad esempio Gmail) memorizzano i token di autenticazione invece delle password se il servizio li supporta, riducendo al minimo il rischio che la password di un utente venga compromessa.
Sarebbe molto pericoloso per applicazioni di terze parti essere in grado di leggere questo file, motivo per cui è molto importante fare attenzione quando si installano applicazioni che richiedono l'accesso come root. Penso che sia importante che tutti gli utenti che eseguono il root dei loro telefoni comprendano che le app eseguite come root hanno accesso * completo * al telefono, comprese le informazioni sull'account.
Se il database degli account dovesse essere accessibile a utenti non di sistema (ad es. Proprietà utente o gruppo del file qualcosa di diverso dal "sistema" o dai privilegi di lettura del mondo sul file) sarebbe una grande sicurezza vulnerabilità."

Per dirla in termini più semplici, Android è configurato in modo che le app non possano leggere i database a cui non sono associate. Ma una volta forniti gli strumenti per l'esecuzione delle applicazioni come root, tutto questo cambia. Non solo qualcuno con accesso fisico al tuo telefono può guardare questi file e possibilmente ottenere il tuo login credenziali, potrebbe essere creato un malware molto pericoloso che fa la stessa cosa e restituisce i dati casa. Non abbiamo trovato istanze di app come questa in circolazione, ma fai molta attenzione (come sempre) alle applicazioni che installi e leggi le autorizzazioni dell'applicazione!

Sebbene questa non sia una preoccupazione per la stragrande maggioranza degli utenti, sarebbe preferibile crittografare queste voci nelle future build di Android. Si scopre che qualcun altro la pensa così, e c'è una voce nelle pagine dei problemi di Android di Google, che le parti interessate possono aggiungere per rimanere informate al riguardo e per aumentare l'elenco.

Certamente non vogliamo gonfiare tutto questo, ma la conoscenza è potere in situazioni come questa. Se hai effettuato il root di quel nuovo telefono Android brillante, prendi alcune precauzioni extra per stare al sicuro.