Το Android δίνει στις εφαρμογές “χωρίς δικαιώματα” πρόσβαση σε ευαίσθητες πληροφορίες

Ερευνητής ασφαλείας δημοσιεύει εφαρμογή proof-of-concept για να καταδείξει ζήτημα ασφαλείας στο λειτουργικό σύστημα κινητών τηλεφώνων της Google.

Χάρη σε μεγάλο βαθμό στο ιστορικό του Android για τη χαλαρή αστυνόμευση των εφαρμογών, το λειτουργικό σύστημα της Google για κινητά έχει επικριθεί ως ανασφαλές.

Τώρα όμως φαίνεται ότι οι εφαρμογές χωρίς δικαιώματα αποτελούν μια νέα απειλή, καθώς αποκτούν πρόσβαση σε ευαίσθητες προσωπικές πληροφορίες χωρίς εξουσιοδότηση. Ο ερευνητής της Leviathan Security Group, Paul Brodeur, εξήγησε σε μια δημοσίευση στο blog του νωρίτερα αυτή την εβδομάδα ότι δημιούργησε ένα proof-of-concept για να αποδείξει ότι οι εφαρμογές “χωρίς δικαιώματα” εξακολουθούν να έχουν πρόσβαση στην κάρτα SD της συσκευής, στα δεδομένα αναγνώρισης της συσκευής και στα αρχεία που έχουν αποθηκευτεί από άλλες εφαρμογές.

Στην κάρτα SD, η εφαρμογή Brodeur έδωσε μια λίστα με όλα τα μη κρυμμένα αρχεία, συμπεριλαμβανομένων των φωτογραφιών, των αντιγράφων ασφαλείας και των εξωτερικών αρχείων διαμόρφωσης. Ο Brodeur δήλωσε ότι διαπίστωσε ότι τα πιστοποιητικά OpenVPN ήταν αποθηκευμένα στην κάρτα SD της δικής του συσκευής.

“Αν και είναι δυνατόν να αντλήσουμε τα περιεχόμενα όλων αυτών των αρχείων, θα το αφήσω σε κάποιον άλλο να αποφασίσει ποια αρχεία πρέπει να αρπάξει και ποια θα είναι βαρετά”, είπε.

Στη συνέχεια, αναζήτησε το αρχείο /data/system/packages.list στο οποίο ήταν εγκατεστημένες εφαρμογές στη συσκευή και σάρωσε τους καταλόγους για να διαπιστώσει αν μπορούσαν να διαβαστούν ευαίσθητες πληροφορίες από αυτούς τους καταλόγους. Είπε ότι κατά τη διάρκεια των δοκιμών ήταν σε θέση να διαβάσει ορισμένα αρχεία που ανήκαν σε άλλες εφαρμογές. “Αυτό το χαρακτηριστικό θα μπορούσε να χρησιμοποιηθεί για την εύρεση εφαρμογών με ευπάθειες με αδύναμα δικαιώματα, όπως αυτές που αναφέρθηκαν στο Skype πέρυσι“, δήλωσε.

Τέλος, η εφαρμογή του Brodeur μπόρεσε να συλλέξει τις πληροφορίες αναγνώρισης του κινητού. Χωρίς την άδεια “PHONE_STATE”, οι εφαρμογές δεν μπορούν να διαβάσουν την ταυτότητα διεθνούς κινητού εξοπλισμού της συσκευής ή την ταυτότητα διεθνούς συνδρομητή κινητής τηλεφωνίας. Ωστόσο, οι πληροφορίες του Παγκόσμιου Συστήματος Κινητών Επικοινωνιών και τα αναγνωριστικά του προμηθευτή SIM μπορούσαν να διαβαστούν.

“Αν και αυτή η εφαρμογή χρησιμοποιεί κουμπιά για να ενεργοποιήσει τις τρεις διαφορετικές ενέργειες που περιγράφονται παραπάνω, είναι κοινότυπο για οποιαδήποτε εγκατεστημένη εφαρμογή να εκτελεί αυτές τις ενέργειες χωρίς καμία αλληλεπίδραση με τον χρήστη”, έγραψε.

Ο Brodeur δήλωσε ότι δοκίμασε την εφαρμογή σε Android 4.0.3 Ice Cream Sandwich και Android 2.3.5 Gingerbread.

Πηγή: https://news.cnet.com/8301-1009_3-57412799-83/android-gives-no-permissions-apps-access-to-sensitive-info/