עלון אבטחה למשתמשים מושרשים: סיסמאות אנדרואיד המאוחסנות כטקסט ברור

בעוד שחלקם עשויים לבלות את סופי השבוע במנוחה לצד הבריכה או במסיבות יום הולדת לפעוטות, חלקם יושבים ופרוצים. אנו שמחים במקרה זה, מכיוון שקורי (מנהל הפורומים המרכזיים שלנו ב- Android) מצא משהו שמספר לא מבוטל עלינו להקפיד - במקרים רבים הסיסמאות שלך נשמרות כטקסט רגיל בפנים מאגרי מידע. השקענו חלק ניכר משבת שלנו במעקב אחר הבעיות, סריקה בדפי באגים של גוגל, בדיקת טלפונים שונים המריצים ROM שונים ואפילו קריאה למקצוענים לבירור. היכנס להפסקה כדי לראות מה נמצא, ולמה ייתכן שתצטרך לצפות אם השתרשת את הטלפון שלך. [פורומים של אנדרואיד סנטרל] ואביזרים גדולים לקורי!

כדי להיות ברור, זה משפיע רק על משתמשים מושרשים. זו גם סיבה נהדרת מדוע אנו מדגישים את האחריות הנוספת הנלווית להפעלת מערכת הפעלה מושרשת בטלפון שלך. אם לא עיקשת שורשים, נושא מסוים זה לא ישפיע עליך, אך עדיין כדאי לקרוא ולו בכדי להקל על דעתך כי לא השתרשות הייתה הבחירה הנכונה.

קח רגע וקרא את כל הממצאים שלנו, שקורי ציין די יפה ממש כאן. אסכם: יישומים מסוימים, כולל לקוח הדואר האלקטרוני המלאי Froyo (Android 2.2), מאחסנים את שם המשתמש והסיסמה שלך כטקסט רגיל במאגר החשבונות הפנימי של הטלפון. זה כולל חשבונות דואר POP ו- IMAP, כמו גם חשבונות Exchange (שעלולים להוות בעיה גדולה יותר אם זה גם פרטי הכניסה לתחום שלך). עכשיו לפני שאנחנו אומרים שהשמיים נופלים, אם הטלפון שלך אינו מושרש, שום יישום אינו מסוגל לקרוא זאת. אפילו אישרנו זאת עם קווין מק'אפי, המייסד המשותף וה- CTO של Lookout -

שתמיד מוכן להושיט יד בנושא אבטחה ניידת, אפילו בסוף השבוע. הנה ההשקעה שלו במצב:

"הקובץ accounts.db נשמר על ידי שירות מערכת אנדרואיד לניהול אישורי חשבון (למשל שמות משתמש וסיסמאות) עבור יישומים. כברירת מחדל, ההרשאות במסד הנתונים של החשבונות צריכות להפוך את הקובץ לנגיש בלבד (כלומר לקרוא + לכתוב) למשתמש המערכת. אף יישום של צד שלישי לא אמור להיות מסוגל לגשת ישירות לקובץ. הבנתי היא שמותר לשמור סיסמאות או אסימוני אימות בטקסט רגיל מכיוון שהקובץ מוגן בהרשאות קפדניות. כמו כן, שירותים מסוימים (למשל Gmail) מאחסנים אסימוני אימות במקום סיסמאות אם השירות תומך בהן, וממזער את הסיכון לפגיעה בסיסמת המשתמש.
זה יהיה מסוכן מאוד שאפליקציות של צד שלישי יוכלו לקרוא את הקובץ הזה, ולכן חשוב מאוד להקפיד על התקנת יישומים הדורשים גישה לשורש. אני חושב שחשוב לכל המשתמשים השורשים את הטלפונים שלהם להבין שאפליקציות הפועלות כ- root יש גישה * מלאה * לטלפון שלך, כולל פרטי החשבון שלך.
אם מסד הנתונים של החשבונות היה נגיש למשתמשים שאינם מערכתיים (למשל בעלות המשתמש או הקבוצה על הקובץ משהו שאינו "מערכת" או הרשאות קריאה עולמיות בקובץ) זה יהיה אבטחה גדולה פגיעות."

כדי לשים זאת במילים פשוטות יותר, אנדרואיד מוגדרת כך שאפליקציות לא יוכלו לקרוא מאגרי מידע שאינם קשורים אליהן. אך ברגע שאתה מספק את הכלים ליישומים להפעלתם כשורש, כל זה משתנה. לא רק מישהו עם גישה פיזית לטלפון שלך יכול להסתכל על הקבצים האלה ואולי להשיג את הכניסה שלך אישורים, ניתן ליצור חתיכת תוכנה זדונית מאוד מגעילה שעושה את אותו הדבר ושולח את הנתונים בחזרה בית. לא מצאנו מקרים של אפליקציות כאלה בטבע, אך היזהר מאוד (כמו תמיד) מהיישומים שאתה מתקין וקרא את הרשאות היישום האלה!

אמנם זה לא דאגה עבור הרוב המכריע של המשתמשים, אך עדיף להצפין ערכים אלה בבניית אנדרואיד בעתיד. מסתבר שמישהו אחר חושב כך ו יש ערך בדפי הגיליונות של Android, אילו גורמים מתעניינים יכולים לככב כדי להישאר מעודכנים בנושא זה ולהגדיר אותו ברשימה.

אנחנו בהחלט לא רוצים לפוצץ את זה מפרופורציות, אבל ידע הוא כוח במצבים כאלה. אם השתרשת את טלפון האנדרואיד החדש והמבריק הזה, נקט בכמה אמצעי זהירות נוספים כדי להישאר בטוח.