Google az önce kamuya açıkladı son derece ciddi bir güvenlik açığı keşfettiğini Epic'in Android için ilk Fortnite yükleyicisi buna izin verildi hiç indirmek ve yüklemek için telefonunuzdaki uygulama herhangi bir şey arka planda, kullanıcının bilgisi olmadan verilen tam izinlere sahip uygulamalar dahil. Google'ın güvenlik ekibi güvenlik açığını ilk olarak 15 Ağustos'ta Epic Games'e özel olarak açıkladı ve Epic'in güvenlik açığının yamalı.
Kısacası, bu kesinlikle bir çeşit istismar Android Central ve diğerlerinin bu tür bir kurulum sistemiyle gerçekleşeceğinden korktuğu. Güvenlik açığı hakkında bilmeniz gerekenler ve ileride güvende olduğunuzdan nasıl emin olacağınız aşağıda açıklanmıştır.
Verizon, Pixel 4a'yı yeni Unlimited hatlarında ayda sadece 10 $ 'a sunuyor
Güvenlik açığı nedir ve neden bu kadar kötü?
"Fortnite" indirmeye gittiğinizde, aslında oyunun tamamını indirmiyorsunuz, önce Fortnite Yükleyiciyi indiriyorsunuz. Fortnite Installer, indirip yükleyebileceğiniz ve daha sonra tam Fortnite oyununu doğrudan Epic'ten indiren basit bir uygulamadır.
Fortnite Installer, oyunun tamamını indirme isteğini ele geçirmek için kolayca kullanılabilirdi.
Google'ın güvenlik ekibinin keşfettiği gibi sorun, Fortnite Yükleyicinin Fortnite'ı Epic'ten indirme isteğini ele geçirmek ve bunun yerine indirmek için çok kolay bir şekilde yararlanılabilmesiydi. herhangi bir şey Oyunu indirmek için düğmeye dokunduğunuzda. Olarak bilinen şey "diskteki adam" saldırısı: Telefonunuzdaki bir uygulama, internetten bir şey indirme isteklerini arar ve bunun yerine, orijinal indirme uygulamasından habersiz olarak başka bir şey indirme isteğini durdurur. Bu tamamen mümkündür çünkü Fortnite Yükleyici yanlış tasarlanmış - Fortnite Yükleyici kötü amaçlı yazılımın indirilmesini kolaylaştırdığına dair hiçbir fikri yoktur ve "başlat" a dokunulduğunda kötü amaçlı yazılım.
Sömürüden yararlanmak için, telefonunuzda böyle bir güvenlik açığı arayan bir uygulamanın yüklü olması gerekir - ancak Fortnite'ın popülaritesi ve piyasaya sürülme beklentisi, büyük olasılıkla dışarıda sadece bu. Telefonlara yüklenen kötü amaçlı uygulamaların çoğu zaman tek bir istismarı yoktur, test edilecek birçok bilinen güvenlik açığı ile dolu bir yük ve bu tür bir saldırı, onları.
Tek bir dokunuşla, tam izinlere sahip olan ve telefonunuzdaki tüm verilere erişen kötü amaçlı bir uygulamayı indirebilirsiniz.
İşte işler burada Gerçekten mi kötü. Android'in izin modelinin çalışma şekli nedeniyle, Fortnite için o kurulumu kabul ettiğiniz sürenin ötesinde "bilinmeyen kaynaklardan" bir uygulamanın kurulumunu kabul etmek zorunda kalmayacaksınız. Bu istismarın çalışma şekli nedeniyle, yükleme işlemi sırasında başka bir şey indirdiğinize dair hiçbir gösterge yoktur. Fortnite'tan (ve Fortnite Installer'ın da bilgisi yok), arka planda tamamen farklı bir uygulama Kurulmuş. Tüm bunlar, uygulamayı Fortnite Yükleyiciden yüklemenin beklenen akışında gerçekleşir - oyunu yüklediğinizi düşündüğünüz için kurulumu kabul edersiniz. Özellikle Galaxy Apps'ten uygulamayı alan Samsung telefonlarında durum biraz daha kötü: "bilinmeyen kaynaklardan" izin vermek için bir ilk uyarı bile yok çünkü Galaxy Apps bilinen bir kaynak. Daha da ileri gidersek, sessizce yüklenen bu uygulama açıklayabilir ve verilebilir her daha fazla izniniz olmadan izin mümkündür. Android Lollipop'lu bir telefonunuz olması veya Android Pastasıya da Fortnite Yükleyiciyi kurduktan sonra "bilinmeyen kaynakları" kapatmış olsanız da - kurduğunuz anda saldırıya uğrayabilirsiniz.
Kötüye kullanım için Google'ın Sorun İzleme sayfası bir kullanıcının, bu durumda Galaxy Apps Store'dan Fortnite Yükleyiciyi ne kadar kolay indirip yükleyebileceğini gösteren ve Fortnite'ı indirdiklerini düşünen hızlı bir ekran kaydına sahiptir. bunun yerine, "Fortnite" adı verilen tam izinlere (kamera, konum, mikrofon, SMS, depolama ve telefon) sahip kötü amaçlı bir uygulamayı indirip yüklerken. Birkaç saniye sürer ve kullanıcı yok etkileşim.
Evet, bu oldukça kötü.
Güvende olduğundan nasıl emin olabilirsin
Neyse ki Epic, istismarı düzeltmek için hızlı hareket etti. Epic'e göre, istismar, bildirildikten 48 saat sonra düzeltildi ve her Fortnite'a dağıtıldı Daha önce yüklenmiş olan yükleyici - kullanıcıların tek dokunuşla bir ilişki olan Yükleyiciyi güncellemeleri yeterlidir. Düzeltmeyi getiren Fortnite Yükleyici, Fortnite Yükleyiciyi başlatıp ayarlarına giderek kontrol edebileceğiniz 2.1.0 sürümüdür. Herhangi bir nedenle Fortnite Installer'ın önceki bir sürümünü indirirseniz, Fortnite'ı kurmadan önce 2.1.0'ı (veya daha yenisini) yüklemenizi isteyecektir.
2.1.0 veya sonraki bir sürüme sahipseniz, bu özel güvenlik açığından korunursunuz.
Epic Games, bu güvenlik açığıyla ilgili bilgileri, yükleyicinin 2.1.0 sürümünde düzeltildi, bu nedenle, vahşi. Fortnite Yükleyiciniz güncelse, ancak bu güvenlik açığından etkilenip etkilenmediğiniz konusunda hala endişeleniyorsanız, kaldırabilirsiniz. Fortnite ve Fortnite Installer, ardından Fortnite kurulumunuzun olduğundan emin olmak için kurulum sürecinden tekrar geçin. meşru. Yüklenmişse herhangi bir kötü amaçlı yazılımın belirlenmesi için Google Play Protect ile bir tarama da yapabilirsiniz (ve yapmalısınız).
Bir Google sözcüsü durumla ilgili şu yorumu yaptı:
Kullanıcı güvenliği en önemli önceliğimizdir ve kötü amaçlı yazılımlara karşı proaktif izlememizin bir parçası olarak, Fortnite yükleyicide bir güvenlik açığı belirledik. Epic Games'e derhal haber verdik ve sorunu çözdüler.
Epic Games, CEO Tim Sweeney'den şu yorumu yaptı:
Epic, Google'ın, bizden hemen sonra Fortnite üzerinde derinlemesine bir güvenlik denetimi yapma çabasını gerçekten takdir etti. Android'de yayınlayın ve sonuçları Epic ile paylaşın, böylece kusurları gidermek için hızlı bir şekilde güncelleme yayınlayabiliriz. keşfetti.
Ancak, birçok kurulum henüz güncellenmemiş ve hala savunmasız durumdayken, kusurun teknik ayrıntılarını bu kadar çabuk kamuya açıklamak Google'ın sorumsuzluğuydu.
Bir Epic güvenlik mühendisi, benim ısrarım üzerine, güncellemenin daha kapsamlı bir şekilde yüklenmesi için zaman tanımak için Google'dan kamuya ifşayı tipik 90 gün ertelemesini istedi. Google reddetti. Hepsini okuyabilirsin https://issuetracker.google.com/issues/112630336
Google'ın güvenlik analizi çabaları takdir edilir ve Android platformuna fayda sağlar, ancak Google kadar güçlü bir şirket daha fazla pratik yapmalıdır Bundan daha sorumlu bir açıklama zamanlaması ve Epic'in Fortnite'ın dışına dağıtımına karşı PR'a karşı yürüttüğü çabalar sırasında kullanıcıları tehlikeye atmamak Google Oyun.
Google, Epic'in zihninde köpekbalığını atlamış olabilir, ancak bu eylem açıkça takip edildi Google'ın 0day güvenlik açıklarını ifşa etme politikası.
Bu süreçten ne öğrendik
Android Central'da yıllardır söylenen bir şeyi tekrarlayacağım: Yalnızca güvendiğiniz şirketlerin ve geliştiricilerin uygulamalarını yüklemek inanılmaz derecede önemlidir. Bu istismar, ne kadar kötü olsa da, hem Fortnite Yükleyicinin yüklü olmasını gerektiriyor ve Daha fazla zarar verici kötü amaçlı yazılım indirme isteğinde bulunabilecek başka bir kötü amaçlı uygulama. Fortnite'ın muazzam popülaritesi ile bu çevrelerin üst üste gelme olasılığı çok yüksektir, ancak sen.
Bu tam olarak endişelendiğimiz türden bir güvenlik açığı ve 1. Günde oldu.
Fortnite'ı Play Store dışında kurma kararıyla ilgili en başından beri endişelerimizden biri şuydu: Oyunun popülaritesi, insanların uygulamaları için Play Store'a bağlı kalma genel sağduyularının önüne geçebilir. Bu, Play Store'a gitme inceleme sürecinde büyük olasılıkla yakalanacak ve düzeltilecek türden bir güvenlik açığıdır önce çok sayıda kişi onu indirdi. Ve telefonunuzda Google Play Protect ile, Google, vahşi doğada olursa uygulamayı uzaktan öldürebilir ve kaldırabilir.
Google, uygulama Play Store aracılığıyla dağıtılmasa bile bu güvenlik açığını yakalamayı başardı. Doğrudan web'den veya başka bir uygulama mağazasından yüklenmiş olsalar bile Google Play Protect'in telefonunuzdaki uygulamaları tarayabildiğini zaten biliyoruz. ve bu durumda bu süreç, güvenlik açığını bulan ve bunu Google'a bildiren yetenekli bir güvenlik ekibi tarafından yedeklendi. geliştirici. Bu işlem genellikle arka planda çok fazla tantana olmadan gerçekleşir, ancak Muhtemelen on milyonlarca yüklemeye sahip Fortnite, Google'ın güvenliği ne kadar ciddiye aldığını gösteriyor Android.
Güncelleme: Bu makale, istismarla ilgili net bilgiler ve Epic Games CEO'su Tim Sweeney'den bir yorumla güncellendi.
Bunlar, her fiyata satın alabileceğiniz en iyi kablosuz kulaklıklardır!
En iyi kablosuz kulaklıklar rahattır, harika ses çıkarır, çok pahalı değildir ve cebe kolayca sığar.
PS5 hakkında bilmeniz gereken her şey: Çıkış tarihi, fiyatı ve daha fazlası.
Sony, PlayStation 5 üzerinde çalıştığını resmen onayladı. Şimdiye kadar bildiğimiz her şey burada.
Nokia, 200 doların altında iki yeni bütçe Android One telefonunu piyasaya sürdü.
Nokia 2.4 ve Nokia 3.4, HMD Global'in bütçeye uygun akıllı telefon serisinin en son eklemeleridir. Her ikisi de Android One cihazı olduklarından, üç yıla kadar iki büyük işletim sistemi güncellemesi ve düzenli güvenlik güncellemeleri almaları garanti edilir.
Android için en iyi simge paketleriyle akıllı telefonunuzu veya tabletinizi renklendirin.
Cihazınızı özelleştirebilmek harika, çünkü cihazınızı daha da "kendinize ait" hale getirmeye yardımcı oluyor. Android'in gücüyle, özel simge temaları eklemek için üçüncü taraf başlatıcıları kullanabilirsiniz ve bunlar sadece bizim favorilerimizden bazıları.
Andrew Martonik
Andrew, Android Central'da ABD'nin Yönetici Editörüdür. Windows Mobile günlerinden beri bir mobil meraklısı ve 2012'den beri AC'de Android ile ilgili her şeyi benzersiz bir bakış açısıyla ele alıyor. Öneriler ve güncellemeler için kendisine [email protected] adresinden veya Twitter'dan ulaşabilirsiniz. @filmdenkare.