O teclado da Samsung tinha um exploit com o qual você provavelmente não precisa se preocupar

Atualização em 19 de junho: A Samsung detalhou o que você pode fazer para certifique-se de obter a correção para o exploit.

Atualização de 18 de junho: Samsung diz Android Central que está preparando uma atualização de segurança que não terá que esperar por uma atualização completa do sistema dos operadores.

O teclado padrão da Samsung - como o que vem com seus telefones - é hoje o assunto de uma peça de uma empresa de segurança NowSecure que detalha uma falha que tem a possibilidade de permitir que o código seja executado remotamente no seu telefone. O teclado integrado da Samsung usa o SwiftKey kit de desenvolvimento de software para previsão e pacotes de idioma, e é aí que o exploit foi encontrado.

NowSecure encabeçou a coisa toda com "Risco de segurança de teclado Samsung divulgado: mais de 600 milhões de dispositivos afetados em todo o mundo." Isso soa assustador. (Especialmente quando inclui fundos vermelhos brilhantes e imagens assustadoras do que geralmente é conhecido como um rosto morto.)

Então você precisa se preocupar? Provavelmente não. Vamos decompô-lo.

Em primeiro lugar: foi confirmado para nós que estamos falando sobre o teclado padrão da Samsung no Galaxy S6, Galaxy S5, Galaxy S4 e GS4 Mini - e não a versão do SwiftKey que você pode baixar no Google Play ou na Apple App Store. Essas são duas coisas muito diferentes. (E se você não estiver usando um telefone Samsung, obviamente, nada disso se aplica a você.)

Entramos em contato com o SwiftKey, que nos deu a seguinte declaração:

Vimos relatos de um problema de segurança relacionado ao teclado padrão da Samsung que usa o SDK do SwiftKey. Podemos confirmar que o aplicativo SwiftKey Keyboard disponível no Google Play ou na Apple App Store não é afetado por esta vulnerabilidade. Levamos relatos dessa maneira muito a sério e, no momento, estamos investigando mais.

Também entramos em contato com a Samsung no início do dia, mas ainda não recebemos nenhum comentário. Atualizaremos se e quando tivermos um.

Lendo através NowSecure's blog técnico sobre a exploração podemos ter um vislumbre do que está acontecendo. (Se você mesmo leu, observe que quando dizem "Swift", eles significam "SwiftKey".) Se você estiver conectado a um ponto de acesso não seguro (como uma rede Wifi aberta), é possível que alguém o faça interceptar e alterar os pacotes de idioma do SwiftKey conforme eles estão atualizando (o que eles fazem periodicamente por razões óbvias - previsão aprimorada e o que não), enviando os dados do seu telefone do atacantes.

Ser capaz de pegar carona nisso é ruim. Mas, novamente, é dependente de você estar em uma rede insegura em primeiro lugar (o que você realmente não deveria estar - evite hotspots públicos que não usam segurança sem fio, ou considere uma VPN). E alguém lá para fazer algo nefasto em primeiro lugar.

E isso depende de você ter um dispositivo sem patch. Como NowSecure próprio aponta, a Samsung já apresentou patches às operadoras. Ele simplesmente não tem ideia de quantos empurraram o patch ou, finalmente, quantos dispositivos permanecem vulneráveis.

Essas são muitas variáveis ​​e incógnitas que, em última análise, se somam a outra façanha acadêmica (em oposição a uma que tem implicações no mundo real) que realmente precisa para (e foi) corrigido, embora realce a importância das operadoras que controlam as atualizações dos telefones nos EUA para que as atualizações sejam enviadas mais rapidamente.

Atualização em 17 de junho: SwiftKey, em uma postagem de blog, diz:

Fornecemos à Samsung a tecnologia principal que alimenta as previsões de palavras em seu teclado. Parece que a forma como essa tecnologia foi integrada nos dispositivos Samsung introduziu a vulnerabilidade de segurança. Estamos fazendo tudo o que podemos para apoiar nosso parceiro de longa data Samsung em seus esforços para resolver este problema de segurança obscuro, mas importante.

A vulnerabilidade em questão apresenta um risco baixo: um usuário deve estar conectado a uma rede comprometida (como um rede Wi-Fi pública falsificada), onde um hacker com as ferramentas certas pretendia especificamente obter acesso a seus dispositivo. Esse acesso só é possível se o teclado do usuário estiver realizando uma atualização de idioma naquele momento específico, enquanto estiver conectado à rede comprometida.