Обнаружена уязвимость Android, позволяющая украсть конфиденциальные данные устройства
Исследователи использовали объекты Intent в ОС Android. С помощью «бреши» можно получить имя сети Wi-Fi, BSSID, локальные IP-адреса и MAC-адреса.
Исследователи проблем безопасности мобильных устройств Nightwatch Cybersecurity опубликовали данные о возможности использования Intent (объектов обмена сообщениями операционной системы Android) для получения важной информации устройства. Злоумышленники могут получить доступ к имени сети Wi-Fi, BSSID, локальным IP-адресам, данным DNS-сервера и MAC-адресам. Кроме того, с помощью «бреши» можно отслеживать положение устройства на местности.
Уязвимость в реализации объектов Intent
С помощью объектов обмена сообщениями ОС или запущенные приложения транслируют информацию, открытую для всех других приложений. Два типа объектов Intent, WifiManager NETWORK_STATE_CHANGED_ACTION и WifiP2pManager WIFI_P2P_THIS_DEVICE_CHANGED_ACTION, могут быть использованы для получения информации о Wi-Fi подключении.
Обычно эти данные защищены от приложений, не получивших допуск к сети Wi-Fi. Однако передаваемая посредством Intent информация доступна для всех запущенных приложений и для их компонентов. По мнению специалистов Nightwatch Cybersecurity, это позволяет обойти все защитные механизмы ОС Android.
Используя полученные подобным образом данные, злоумышленник может обратиться к публичным базам идентификаторов BSSID и отследить местоположение устройства — и его пользователя — в реальном мире. Как заявляют исследователи, уязвимость наблюдается во всех версиях ОС Android.
Nightwatch Cybersecurity сообщила об обнаруженной уязвимости ещё в марте 2018 года, однако Google сообщила, что исправления, касающиеся объектов Intent, в Android будут внесены только начиная с версии 9.0. Устройства с более старыми версиями системы останутся уязвимы.
Сети Wi-Fi регулярно демонстрируют себя слабым звеном в защите ОС Android. В конце 2017 года стало известно об уязвимости, получившей название KRACK (Key Reinstallation Attacks). Однако подход изнутри, продемонстрированный Nightwatch Cybersecurity, встречается нечасто.
1К открытий1К показов
В этой статье мы поговорим о том, как обеспечить безопасность вашего телеграм-бота на Python, чтобы избежать спама, фишинга и DDoS-атак.
Описали четыре техники увеличения безопасности кода и подобрали примеры к каждой из них. В статье вы познакомитесь не только с универсальными приемами, но и специфическими – для серверов и ботов.
Рассказали о внедрении социального рейтинга в РГСУ, о цифровом паспорте от Минцифры и о закупках Astra Linux и «Мойофис» в Госдуме.
Из найма в IT к управлению собственной компанией Алексей Лихацкий шел более 10 лет. Из года в год индустрия менялась. Появлялись не только новые требования к специалистам, но и профессии. Рассказали о внешних и внутренних переменах рынка и их влиянии на нужные для специалиста навыки.