Drošības biļetens sakņotiem lietotājiem: Android paroles tiek glabātas kā skaidrs teksts

Kaut arī daži var pavadīt nedēļas nogales, atpūšoties pie baseina vai mazuļu dzimšanas dienas ballītēs, daži sēž un kapājas. Mēs šajā gadījumā priecājamies, jo Korijs (mūsu Android centrālo forumu administrators) atrada kaut ko tādu, par ko bija ļoti daudz mums jābūt uzmanīgiem - daudzos gadījumos jūsu paroles tiek glabātas kā vienkāršs teksts iekšējās datu bāzes. Mēs pavadījām lielu daļu savas sestdienas, lai izsekotu problēmas, izpētītu Google kodu kļūdu lapas, testētu dažādus tālruņus, kuros darbojas dažādi ROM, un pat aicinājām profesionāļus sniegt skaidrību. Noklikšķiniet uz pārtraukuma, lai redzētu, kas tika atrasts, un kas jums varētu būt nepieciešams skatīties, ja esat sakņojis tālruni. [Android Central forumi] Un lielie rekvizīti Korijam!

Lai būtu skaidrs, tas ietekmē tikai iesakņojušos lietotājus. Tas ir arī lielisks iemesls, kāpēc mēs uzsveram papildu pienākumus, kas saistīti ar sakņotās OS palaišanu tālrunī. Ja neesat iesakņojies, šis konkrētais jautājums jūs neietekmēs, taču tomēr ir vērts to izlasīt, kaut vai tikai tāpēc, lai atvieglotu prātu, ka neiesakņošanās bija pareizā izvēle.

Veltiet mirkli un izlasiet visus mūsu secinājumus, ko Korijs ir teicami uzskaitījis. Es apkopošu: dažas lietojumprogrammas, tostarp Froyo (Android 2.2) krājuma e-pasta klients, tālruņa iekšējo kontu datu bāzē jūsu lietotājvārdu un paroli glabā kā vienkāršu tekstu. Tas ietver POP un IMAP pasta kontus, kā arī Exchange kontus (kas varētu radīt lielāku problēmu, ja tā ir arī jūsu domēna pieteikšanās informācija). Tagad, pirms mēs sakām, ka debesis krīt, ja jūsu tālrunis nav iesakņojies, neviena lietojumprogramma to nespēj nolasīt. Mēs to pat apstiprinājām ar Lookina līdzdibinātāju un CTO Kevinu McHaffey - kurš vienmēr ir gatavs pasniegt roku, ja runa ir par mobilo drošību, pat nedēļas nogalē. Lūk, viņa pārskats par situāciju:

"Kontu.db failu glabā android sistēmas dienests, lai centralizēti pārvaldītu kontu akreditācijas datus (piemēram, lietotājvārdus un paroles) lietojumprogrammām. Pēc noklusējuma kontu datu bāzes atļaujām failam jābūt pieejamam (t.i., lasīt + rakstīt) tikai sistēmas lietotājam. Nevienai trešās puses lietojumprogrammai nevajadzētu būt iespējai tieši piekļūt failam. Es saprotu, ka paroles vai autentifikācijas marķierus ir atļauts glabāt vienkāršā tekstā, jo failu aizsargā stingras atļaujas. Turklāt dažos pakalpojumos (piemēram, Gmail) autentifikācijas marķieri tiek glabāti paroļu vietā, ja pakalpojums tos atbalsta, līdz minimumam samazinot risku, ka lietotāja parole tiks apdraudēta.
Būtu ļoti bīstami, ja trešo pušu lietojumprogrammas varētu nolasīt šo failu, tāpēc ir ļoti svarīgi būt piesardzīgiem, instalējot lietojumprogrammas, kurām nepieciešama root piekļuve. Es domāju, ka visiem lietotājiem, kuri iesakņo savus tālruņus, ir svarīgi saprast, ka lietotnēm, kas darbojas kā root, ir * pilnīga * piekļuve jūsu tālrunim, ieskaitot jūsu konta informāciju.
Ja kontu datubāzei būtu jābūt pieejamai lietotājiem, kas nav sistēmas lietotāji (piemēram, faila lietotāja vai grupas īpašumtiesības) kas nav “sistēmas” vai pasaules lasīšanas privilēģijas failā), tas būtu liels drošība ievainojamība. "

Lai to vienkāršotu, Android ir iestatīts tā, lai lietotnes nevarētu nolasīt datubāzes, ar kurām tās nav saistītas. Bet, tiklīdz esat nodrošinājis rīkus lietojumprogrammām, kas darbojas kā root, tas viss mainās. Persona, kurai ir fiziska piekļuve jūsu tālrunim, var ne tikai apskatīt šos failus un, iespējams, iegūt jūsu pieteikuminformāciju akreditācijas datus, var izveidot ļoti nepatīkamu ļaunprātīgu programmatūru, kas dara to pašu un nosūta datus atpakaļ mājas. Mēs savvaļā neatradām nevienu šādu lietotņu gadījumu, taču esiet ļoti uzmanīgs (kā vienmēr) no instalētajām lietojumprogrammām un izlasiet šīs lietojumprogrammu atļaujas!

Lai gan tas neraizējas par lielāko daļu lietotāju, labāk būtu šifrēt šos ierakstus turpmākajās Android versijās. Izrādās, kāds cits tā domā, un Google Android problēmu lapās ir ieraksts, kuras ieinteresētās puses var atzīmēt ar zvaigznīti, lai par to būtu informēts, kā arī to sarakstā.

Mēs noteikti nevēlamies to izpūst proporcionāli, taču zināšanas šādās situācijās ir spēks. Ja esat iesakņojis jauno spīdīgo Android tālruni, veiciet dažus papildu piesardzības pasākumus, lai saglabātu drošību.