Kitajska skupina Android Security Squad je opozorila na še eno varnostno tveganje v operacijskem sistemu Android. Zdravilo: nameščajte samo programe iz zaupanja vrednih virov.
To je že druga podobna ranljivost, ki so jo odkrili v nekaj dneh. Tudi ta izvira iz načina, kako operacijski sistem prebere datoteke APK (namestitvene datoteke) in ob tem omogoča zlorabo digitalnega podpisa zakonitih aplikacij. Prva napaka, ki jo je odkrilo podjetje Bluebox Security, bi po njihovih navedbah lahko ogrozila 99 odstotkov naprav s tem operacijskim sistemom, a pri Googlu zatrjujejo, da so to napako že odpravili.
Preveri prvega, a izvaja drugega
Napad izkorišča dejstvo, da če sta v datoteki APK dva gradnika z imenom classes.dex, varnostni mehanizem s primerjavo digitalnega podpisa preveri pristnost samo prvega zadetka, ob zagonu programa pa izvede drugega. Nepridipravu je torej povsem dovolj, da v paket APK vcepi zlonamerno programsko kodo in jo skrije v (drugo) datoteko z enakim imenom, kot ga ima pristen gradnik.
Verjetnost napada je za zdaj mogoče zmanjšati le z uporabo aplikacij iz zaupanja vrednih virov (kar v celoti velja tudi za druge operacijske sisteme in druge računalniške naprave). Na spletnih tržnicah se sicer pojavljajo aplikacije, kot je Rekey, ki zaprejo ta tvegana stranska vrata, a to zdravilo deluje le, če je telefon "rootan", torej če je na njem opravljen poseg, s katerim je pridobil določene sistemske pravice, ki jih običajno nameščene različice Androida ne dopuščajo.
2
