Android jest ostatnio na cenzurowanym, jeżeli chodzi o bezpieczeństwo. Co rusz wspomina się o kolejnych lukach, czy też dziwnych odkryciach ekspertów ds. cyberbezpieczeństwa - mimo tego, że Google obiektywnie wykonuje naprawdę dobrą robotę przy uszczelnianiu wszelkich możliwych wycieków. Nie oznacza to jednak, że nie pojawiają się zupełnie nowe możliwości ataków na ten system.
A co byście powiedzieli na to, że aplikacje w Waszym telefonie z Androidem mogą uzyskać dostęp do skądinąd wrażliwych danych - takich jak na przykład nazwa sieci WiFi, BSSID, lokalny adres IP, informacje dotyczące serwerów DNS, a nawet odczytać MAC urządzenia? To zasadniczo może wydawać się całkiem niewinne i potencjalnie mało złośliwe, ale uwierzcie mi, że dzięki temu różnorakie aplikacje mogą m. in. ustalić Waszą dokładną, aktualną lokalizację. Baza danych o SSID wraz z ich geolokalizacją to bardzo dobry materiał porównawczy do oceny, gdzie aktualnie znajduje się użytkownik.
Funkcja o której mowa, tzw. "intents" to w prostym rozumieniu "wiadomości", które mogą być odczytywane przez wszystkie aplikacje oraz funkcje pracujące w systemie Android. "Intents" mogą wysyłać zarówno programy jak i sam OS, dzięki czemu komunikacja między tymi komponentami jest prostsza. Tyle, że "intents" to właśnie źródło wycieku - eksperci z Nightwatch wykazali, że Android udostępnia newralgiczne informacje za pomocą dwóch oddzielnych "intentsów": WifiManager NETWORK_STATE_CHANGED_ACTION oraz WifiP2pManager WIFI_P2P_THIS_DEVICE_CHANGED_ACTION.
To stanowi spory problem, bo wprawny programista może wykorzystać je np. do lepszego targetowania reklam. Wystarczy, że zaimplementuje nasłuchiwanie konkretnych "intentsów" i analizę z nich odpowiednich danych - sieć reklamowa bardzo ucieszy się na wieść, że aktualnie znajdujemy się w galerii, która umożliwia nam wizytę w sklepie "A". I właśnie z niego pojawią się nam reklamy w telefonie.
Co więcej, odbywa się to z pominięciem typowego systemu uprawnień - nawet, jeżeli zabroniliśmy konkretnemu programowi dostępu np. do lokalizacji, to mimo wszystko będzie on w stanie odczytać te dane. A kiedy już je odczyta, może je porównać z bazą geolokalizacyjną, by dowiedzieć się gdzie aktualnie się znajdujemy.
Wyciek danych poprzez "intents" to spory problem - co więcej, również urządzenia Kindle z FireOS mogą charakteryzować się podobną możliwością eksploatacji tej metody. Google już w marcu dowiedziało się o tym błędzie i najprawdopodobniej sprzęty pracujące na wersji 9.0 (Pie) nie są już podatne na taki atak. Gorzej z użytkownikami starszych wersji - ci cały czas mogą być narażeni na wykorzystanie tej wady systemu. Okazuje się więc, że dopiero aktualizacja do najnowszej wersji (która może nie być dostępna dla każdego) rozwiąże problem.
Hej, jesteśmy na Google News - Obserwuj to, co ważne w techu
