Buletin de securitate pentru utilizatorii înrădăcinați: parolele Android stocate ca text clar

În timp ce unii își pot petrece weekendurile relaxându-se lângă piscină sau la petreceri de ziua de naștere pentru copii mici, unii stau și piratează. Ne bucurăm în acest caz, deoarece Cory (administratorul forumurilor noastre centrale Android) a găsit ceva care a fost un număr bun trebuie să fim atenți - în multe cazuri parolele dvs. sunt stocate ca text simplu în interior baze de date. Am petrecut o bună parte din sâmbăta noastră urmărind problemele, parcurgerea paginilor Google cu erori de cod, testarea diverselor telefoane care rulează diverse ROM-uri și chiar apelarea la profesioniști pentru clarificare. Faceți pauză pentru a vedea ce a fost găsit și ce ar putea fi necesar să urmăriți dacă ați înrădăcinat telefonul. [Forumuri Android Central] Și recuzită mare pentru Cory!

Pentru a fi clar, acest lucru afectează doar utilizatorii înrădăcinați. Este, de asemenea, un motiv excelent pentru care subliniem responsabilitățile suplimentare care vin odată cu rularea unui sistem de operare înrădăcinat pe telefon

. Dacă nu v-ați înrădăcinat, această problemă specială nu vă va afecta, dar merită totuși să o citiți, doar pentru a vă liniști mintea, că neînrădăcinarea a fost alegerea corectă.

Ia un moment și citește toate constatările noastre, pe care Cory le-a enumerat destul de frumos chiar aici. Voi rezuma: Anumite aplicații, inclusiv clientul de e-mail Froyo (Android 2.2), stochează numele dvs. de utilizator și parola ca text simplu în baza de date internă a conturilor telefonului. Aceasta include conturile de poștă POP și IMAP, precum și conturile Exchange (care ar putea pune o problemă mai mare dacă sunt și informațiile de conectare la domeniul dvs.). Acum, înainte de a spune că cerul cade, dacă telefonul dvs. nu este înrădăcinat, nicio aplicație nu poate citi acest lucru. Am confirmat chiar acest lucru cu Kevin McHaffey, co-fondator și CTO al Lookout - care este întotdeauna gata să dea o mână de ajutor în ceea ce privește securitatea mobilă, chiar și în weekend. Iată cum arată situația:

„Fișierul accounts.db este stocat de un serviciu de sistem Android pentru a gestiona central acreditările contului (de exemplu, nume de utilizator și parole) pentru aplicații. În mod implicit, permisiunile pentru baza de date de conturi ar trebui să facă fișierul accesibil doar (adică citire + scriere) pentru utilizatorul sistemului. Nicio aplicație terță parte nu ar trebui să poată accesa direct fișierul. Am înțeles că parolele sau jetoanele de autentificare pot fi stocate în text simplu, deoarece fișierul este protejat de permisiuni stricte. De asemenea, unele servicii (de ex. Gmail) stochează jetoane de autentificare în loc de parole dacă serviciul le acceptă, minimizând riscul compromiterii parolei unui utilizator.
Ar fi foarte periculos ca aplicațiile terților să poată citi acest fișier, motiv pentru care este foarte important să aveți grijă atunci când instalați aplicații care necesită acces root. Cred că este important ca toți utilizatorii care își rădăcină telefoanele să înțeleagă că aplicațiile care rulează ca root au acces * complet * la telefonul dvs., inclusiv informațiile despre cont.
Dacă baza de date a conturilor ar fi accesibilă utilizatorilor care nu sunt din sistem (de exemplu, proprietatea utilizatorului sau a grupului asupra fișierului altceva decât „sistem” sau privilegii de citire a lumii pe fișier) ar fi o securitate mare vulnerabilitate."

Pentru a pune acest lucru în termeni mai simpli, Android este configurat astfel încât aplicațiile să nu poată citi bazele de date cu care nu sunt asociate. Dar odată ce furnizați instrumentele pentru ca aplicațiile să ruleze ca root, toate acestea se schimbă. Nu numai că cineva cu acces fizic la telefonul dvs. poate privi aceste fișiere și, eventual, vă poate obține datele de conectare acreditări, ar putea fi creat un malware foarte urât care face același lucru și trimite datele înapoi Acasă. Nu am găsit nicio situație de aplicații de acest gen în natură, dar fiți foarte atenți (ca întotdeauna) la aplicațiile pe care le instalați și citiți aceste permisiuni de aplicație!

Deși aceasta nu este o preocupare pentru marea majoritate a utilizatorilor, ar fi de preferat să criptați aceste intrări în viitoarele versiuni Android. Se pare că altcineva crede asta și există o intrare în paginile Google cu probleme Android, pe care părțile interesate le pot juca pentru a rămâne la curent cu acest lucru, precum și pentru a-l ridica pe listă.

Cu siguranță nu vrem să aruncăm acest lucru în mod disproporționat, dar cunoașterea este putere în astfel de situații. Dacă ați înrădăcinat noul telefon Android strălucitor, luați câteva precauții suplimentare pentru a vă menține în siguranță.