最新のアンドロイド「マスターキー」セキュリティ恐怖を理解する

スピンなし、でたらめなし、今回は何が起こっているかについての簡単な話

Blueboxセキュリティチームが発見したこのエクスプロイトについての実際の話が必要です。最初に知っておくべきことは、おそらくあなたが影響を受けているということです。これは、Android 1.6以降にパッチが適用されていないすべてのデバイスで機能するエクスプロイトです。電話をルート化してROM化した場合は、これらすべてを自由に無視できます。心配する必要があるのは、ルートROMとカスタムROMに付属するまったく異なるセキュリティ上の懸念があるためです。

設定で悪名高い「Unknown Sources」許可ボックスがオフになっていない場合、これはすべて何の意味もありません。続けて、少し独善的で独善的であるように自由に感じてください。このような事態が発生した場合に備えて、常にサイドローディングを回避するのに値します。これが何を意味するのかわからない場合は、誰かに尋ねてください。

私たちの残りの部分については、休憩を過ぎて読んでください。

詳細：IDGニュースサービス。

それは何ですか？

Android上のすべてのアプリは、暗号化キーで署名されています。そのアプリを更新するとき、新しいバージョンには古いものと同じデジタル署名が必要です。そうでない場合、上書きされません。つまり、更新することはできません。例外はありません。署名キーを紛失した開発者は、新しいアプリを作成する必要があり、それをもう一度ダウンロードする必要があります。それはゼロから始めることを意味します。すべての新しいダウンロード、すべての新しいレビューと評価。些細な問題ではありません。

システムアプリ（HTC、Samsung、またはGoogleから携帯電話にインストールされたもの）にもキーがあります。多くの場合、これらのアプリは、メーカーの信頼できるアプリであるため、携帯電話のすべてに完全な管理者アクセス権があります。しかし、それらはまだ単なるアプリです。

まだ私をフォローしていますか？

Blueboxが話していることは、暗号化キーを邪魔することなくAndroidアプリを開いてコードを変更する方法です。ハッカーがロックされたブートローダーを回避するのを応援します。これは同じような悪用です。何かをロックすると、他の人が十分に努力すれば道を見つけるでしょう。そして、あなたのプラットフォームが地球上で最も人気がある場合、人々は一生懸命努力します。

だから、誰かが電話からシステムアプリケーションを取ることができます。すぐに引き出します。このエクスプロイトを使用して、彼らはそれを編集して厄介なことをすることができます-新しいバージョン番号を与え、同じ有効な署名キーを保持しながら一緒にパックします。その後、このアプリを既存のコピーの上にインストールすることができます。これで、悪いことをするように設計されたアプリができ、システム全体に完全にアクセスできます。ずっと、アプリは正常に表示され、正常に動作します-怪しいものが起こっていることを知ることは決してないでしょう。

いいね。

それについて何が行われていますか？

Blueboxの社員は、2月にこのことについてOpen Handset Alliance全体に語った。 GoogleとOEMは、パッチを適用してそれを防ぐ責任があります。 SamsungはGalaxy S4でその役割を果たしましたが、販売している他のすべての携帯電話は脆弱です。 HTCとThe Oneは削減できなかったため、HTCの携帯電話はすべて脆弱です。実際、Samsung TouchwizバージョンのGalaxy S4を除くすべての携帯電話は脆弱です。

Googleはこの問題にパッチを当てるためにAndroidをまだ更新していません。彼らがそれに一生懸命取り組んでいると思います。ChainfireがAndroid 4.3のルート化で経験した問題をご覧ください。しかし、グーグルは黙って座っていなかったし、無視したこともなかった。 Google Playストアは「パッチ」されているため、改ざんされたアプリをGoogleのサーバーにアップロードすることはできません。つまり、少なくともこの特定のエクスプロイトが懸念される場合、Google Playからダウンロードするアプリはすべてクリーンです。しかし、Amazon、Slide Me、そしてもちろんそれらのクラックされたAPKフォーラムのような場所は広く開かれており、すべてのアプリケーションに悪いJuJuが含まれている可能性があります。

これは本当に大したことですか？

はい、それは大したことです。同時に、いや、そうでもありません。

Googleは、Androidによるアプリの更新方法または署名方法にパッチを適用します。この猫とマウスのゲームでは、これは通常の発生です。 Googleはソフトウェアをリリースし、ハッカー（善悪両方）がそれを悪用しようとし、Googleがコードを変更するとき。それがソフトウェアの仕組みです。この種のことは、あなたが侵入しようとしている賢い人が十分にいるときに期待されるべきです。

一方、現在お使いの携帯電話では、これを修正するアップデートが表示されない場合があります。地獄、サムスンは、一部の携帯電話のすべてのユーザーデータを消去する可能性のある攻撃に対してブラウザにパッチを当てるのに、ほぼ1年かかりました。 Android 4.3に更新する予定の電話がある場合は、おそらくパッチが適用されます。そうでない場合、それは誰の推測です。それは悪いことです。非常に悪いことです。私は、私たちの携帯電話を作っている人をるつもりはありませんが、真実は真実です。

私に何ができる？

Google Play以外のアプリをダウンロードしないでください。
Google Play以外のアプリをダウンロードしないでください。
Google Play以外のアプリをダウンロードしないでください。
実際、必要に応じて、不明なソースの許可を無効にしてください。やった。他のものはあなたを脆弱にします。一部の「アンチウイルス」アプリでは、不明なソースが有効かどうかが不明な場合にチェックします。フォーラムに参加して、必要に応じて誰が一番良いと言っているかを見つけてください。
お使いの携帯電話に不可欠なセキュリティ更新プログラムを入手できないことに不満を表明してください。特に、2年間（または3年間-カナダこんにちは！）契約を結んでいる場合は特にそうです。
電話機をルート化して、何らかの修正が施されたROMをインストールします。一般的なものはすぐに搭載されるでしょう。

パニックにならないでください。ただし、積極的に行動し、常識を働かせてください。クラッキングを行っている人々は、悪のコードをアプリに入れる可能性のある人々と同じ種類であるため、クラッキングされたアプリケーションのインストールを停止するのは今が本当に良い時期です。 Google Play以外の場所からの更新通知を受け取った場合は、誰かに伝えてください。必要であれば教えてください。これらのエクスプロイトを渡そうとしている人々を見つけ出し、大衆に恥をかき、露出させます。ゴキブリは光を嫌います。

これはセキュリティの恐怖が常にそうするように通過しますが、別のものが足を踏み入れるために介入します。それが獣の性質です。みんな安全に。