Het begrijpen van de nieuwste android 'master key' beveiligingsschrik

Geen draai, geen onzin, gewoon duidelijk praten over wat er deze keer aan de hand is

Er is echt gepraat over dit misbruik dat het Bluebox-beveiligingsteam heeft ontdekt dat nodig is. Het eerste dat u moet weten, is dat u waarschijnlijk bent getroffen. Het is een exploit die werkt op elk apparaat dat niet is gepatcht sinds Android 1.6. Als je je telefoon hebt geroot en geroot, kun je dit allemaal vrij negeren. Niets telt voor u, omdat u zich zorgen hoeft te maken over een hele reeks beveiligingszorgen die bij root en aangepaste ROM's horen.

Als u het beruchte machtigingsvak 'Onbekende bronnen' niet heeft aangevinkt in uw instellingen, betekent dit niets voor u. Ga door en voel je vrij om een ​​beetje zelfvoldaan en zelfingenomen te zijn - je verdient het voor het vermijden van al die tijd in het geval dat zoiets zou kunnen gebeuren. Vraag iemand als u niet weet wat dit betekent.

Voor de rest van ons, lees voorbij de pauze.

Meer: IDG News Service.

Wat is het?

Alle apps op je Android zijn ondertekend met een cryptografische sleutel. Wanneer het tijd is om die app bij te werken, moet de nieuwe versie dezelfde digitale handtekening hebben als de oude, anders wordt deze niet overschreven. Je kunt het dus niet bijwerken. Er zijn geen uitzonderingen en ontwikkelaars die hun ondertekeningssleutel verliezen, moeten een gloednieuwe app maken die we opnieuw moeten downloaden. Dat betekent vanaf nul beginnen. Alle nieuwe downloads, alle nieuwe beoordelingen en beoordelingen. Het is geen triviale zaak.

De systeem-apps - degene die op uw telefoon zijn geïnstalleerd vanaf HTC of Samsung of Google - hebben ook een sleutel. Deze apps hebben vaak volledige beheerderstoegang tot alles op uw telefoon, omdat het vertrouwde apps van de fabrikant zijn. Maar het zijn nog steeds alleen apps.

Volg je me nog?

Waar we het nu over hebben, waar Bluebox het over heeft, is een methode om een ​​Android-app te openen en de code te wijzigen zonder de cryptografische sleutel te verstoren. We juichen wanneer hackers vergrendelde bootloaders omzeilen, en dit is hetzelfde soort exploit. Als je iets vergrendelt, vinden anderen een manier om het te proberen. En wanneer uw platform het populairste ter wereld is, proberen mensen heel hard.

Dus iemand kan een systeemapplicatie van een telefoon gebruiken. Trek hem er gewoon uit. Met behulp van deze exploit kunnen ze het bewerken om vervelende dingen te doen - geef het een nieuw versienummer en pak het weer samen met behoud van dezelfde, geldige handtekeningsleutel. Je zou deze app dan mogelijk bovenop je bestaande exemplaar kunnen installeren, en je hebt nu een app die is ontworpen om slechte dingen te doen en deze heeft volledige toegang tot je hele systeem. De hele tijd zal de app er normaal uitzien en zich gedragen - je zult nooit weten dat er iets aan de hand is.

Yikes.

Wat wordt eraan gedaan?

De mensen van Bluebox vertelden dit in februari aan de hele Open Handset Alliance. Google en OEM's zijn verantwoordelijk voor het patchen van dingen om dit te voorkomen. Samsung heeft zijn steentje bijgedragen met de Galaxy S4, maar elke andere telefoon die ze verkopen, is kwetsbaar. HTC en de Ene hebben het niet gehaald, dus alle telefoons van HTC zijn kwetsbaar. In feite is elke telefoon behalve de Samsung Touchwiz-versie Galaxy S4 kwetsbaar.

Google heeft Android nog niet bijgewerkt om dit probleem te verhelpen. Ik stel me voor dat ze er hard aan werken - zie de problemen die Chainfire heeft doorgemaakt met het rooten van Android 4.3. Maar Google zat er ook niet stil bij en negeerde het ook niet. De Google Play Store is "gepatcht", zodat geen geknoeide apps kunnen worden geüpload naar de servers van Google. Dat betekent dat elke app die u downloadt van Google Play schoon is - althans wat dit specifieke misbruik betreft. Maar plaatsen als Amazon, Slide Me en natuurlijk al die gekraakte APK-forums die er zijn, staan ​​wijd open en elke toepassing kan een slechte JuJu bevatten.

Dus dit is echt een groot probleem?

Ja, het is een groot probleem. En tegelijkertijd, nee, dat is het echt niet.

Google patcht de manier waarop Android apps bijwerkt of ondertekent. In dit kat-en-muisspel is dit een normale gebeurtenis. Google geeft software vrij, hackers (zowel de goede als de slechte) proberen deze te exploiteren en wanneer ze dat doen, verandert Google de code. Dat is hoe software werkt, en dit soort dingen zou je moeten verwachten als je genoeg slimme mensen hebt die proberen in te breken.

Aan de andere kant zal de telefoon die je nu hebt misschien nooit een update zien om dit op te lossen. Het kostte Samsung bijna een jaar om de browser te patchen tegen een exploit die al uw gebruikersgegevens op slechts enkele van zijn telefoons kon wissen. Als u een telefoon hebt waarvan u verwacht dat deze wordt bijgewerkt naar Android 4.3, wordt u waarschijnlijk gepatcht. Zo niet, dan is het een gok. Dat is slecht - heel slecht. Ik probeer de mensen die onze telefoons maken niet te bederven, maar waarheid is waarheid.

Wat kan ik doen?

• Download geen apps buiten Google Play.
• Download geen apps buiten Google Play.
• Download geen apps buiten Google Play.
• In feite, ga je gang en schakel de machtiging Onbekende bronnen uit als je wilt. Ik deed. Al het andere maakt je kwetsbaar. Sommige "Anti-Virus" -apps controleren of u onbekende bronnen hebt ingeschakeld als u het niet zeker weet. Ga naar de forums en ontdek welke iedereen zegt dat deze het beste is als dat nodig is.
• Druk uw ongenoegen uit over het niet krijgen van essentiële beveiligingsupdates voor uw telefoon. Vooral als je nog steeds dat tweejarige (of driejarige - hallo Canada!) Contract hebt.
• Root je telefoon en installeer een ROM die een soort oplossing heeft - de populaire zullen waarschijnlijk snel aankomen.

Dus geen paniek. Maar wees proactief en gebruik je gezond verstand. Dit is echt een goed moment om te stoppen met het installeren van gekraakte apps, omdat de mensen die kraken dezelfde soort mensen zijn die kwaadaardige code in de app kunnen plaatsen. Laat het iemand weten als u updatemeldingen ontvangt die afkomstig zijn van een andere plaats dan Google Play. Vertel het ons als dat nodig is. Zoek uit welke mensen deze exploits proberen door te geven en geef ze een zware dosis publieke schaamte en publiciteit. Kakkerlakken haten het licht.

Dit zal overgaan zoals beveiligingsschrikken altijd doen, maar een ander zal zijn schoenen vullen. Dat is de aard van het beest. Blijf veilig jongens.