פגיעות ב- Quadrooter: 5 דברים שכדאי לדעת על הפחדת האבטחה הזו באנדרואיד

שוב, זו עונת הפחדי האבטחה באנדרואיד. הבוקר פורסמו חדשות על אוסף הפגיעויות האחרון, שהתגלה על ידי חברת האבטחה צ'ק פוינט וקובץ יחדיו תחת המוניקר הקליט "QuadRooter". כרגיל, מרבית הדיווחים התמקדו בתרחישים הגרועים ביותר ובמספר עצום באופן מזעזע של מכשירים שעלולים להיות פגיעים - במקרה זה, מוערך 900 מיליון.

אנו הולכים לפרק בדיוק את המתרחש, וכמה אתה עשוי להיות פגיע. תמשיך לקרוא.

1. זה דבר של קוואלקום

צ'ק פוינט פנתה במיוחד לקוואלקום בשל מיקומה הדומיננטי במערכת האקולוגית של אנדרואיד. מכיוון שכל כך הרבה טלפונים אנדרואיד משתמשים בחומרת קוואלקום, הנהגים קוואלקום תורמים לתוכנה בטלפונים אלה מייעדים יעד אטרקטיבי - קבוצה אחת של פגיעויות המשפיעות על חלק גדול מבסיס המשתמשים באנדרואיד. (באופן ספציפי, הבאגים משפיעים על קוד הרשתות, הגרפיקה והקצאת הזיכרון.)

הנהגים של קוואלקום הם יעד גדול ומושך.

כל ארבעת הניצולים המרכיבים את QuadRooter משפיעים על מנהלי ההתקן של קוואלקום, כך שאם יש לך טלפון שאינו משתמש כלל בחומרה של קוואלקום - למשל, Galaxy S6 או Note 5 (שמשתמש במעבד Exynos של סמסונג ומודם שאנון), אינך מושפע מכך.

2. זה רציני, אבל אין שום הוכחות לכך שהוא משמש בטבע

כפי שהשם מרמז, QuadRoot הוא אוסף של ארבעה ניצולים בקוד של קוואלקום שעלול לאפשר לאפליקציה זדונית להשיג הרשאות שורש - כלומר גישה לעשות כל דבר שבטלפון שלך. משם אתה יכול לחלום על כל מספר תרחישים של סיוט: תוקפים שמאזינים בשיחות טלפון, מרגלים דרך המצלמה שלך, משרים פרטים כלכליים או נועלים את הנתונים שלך באמצעות תוכנת ransomware.

איש אינו מדבר על כך שהמנצלות הללו משמשות עדיין בטבע, וטוב שכך. (צ'ק פוינט מעריך כי הרעים יארזו אותה לתפקוד זדוני תוכנה תוך שלושה או ארבעה חודשים.) עם זאת בהתחשב באתגרים הכרוכים בעדכון התוכנה במכשירי אנדרואיד פלוס מכשירי האנדרואיד בחוץ, ליוצרי תוכנות זדוניות יהיה מספיק זמן להבין יישום מעשי.

אבל…

3. רוב הסיכויים שאתה לא ממש "פגיע"

QuadRooter הוא אחד מסוגיות האבטחה הרבות באנדרואיד המחייבות התקנה ידנית של אפליקציה. המשמעות היא כניסה ידנית להגדרות אבטחה והפעלה של תיבת הסימון "מקורות לא ידועים".

כל וולב הדורש התקנה ידנית של אפליקציה נתקל בשני מחסומים מרכזיים: חנות Play, ותכונת ה- Verify Apps המובנית של אנדרואיד.

בהתחשב בעובדה שצ'ק פוינט חשפה לראשונה את הפגיעויות באפריל, גוגל סורקת כמעט בוודאות אפליקציות של חנות Play עבור ניצולים אלה במשך זמן רב. זה אומר שתהיה בסדר אם, כמו רוב האנשים, רק תוריד אפליקציות מחנות Play.

וגם אם לא, התכונה 'אמת אמת אפליקציות' של אנדרואיד נועדה לפעול כשכבת הגנה נוספת, תוך סריקת אפליקציות ממקורות צד שלישי אחר תוכנות זדוניות ידועות לפני התקנתך. תכונה זו מופעלת כברירת מחדל בכל גרסאות אנדרואיד מאז ג'לי שעועית 4.2 משנת 2012, ומכיוון שהיא חלק משירותי Google Play, היא תמיד מתעדכנת. נכון לנתונים הסטטיסטיים האחרונים שיש, יותר מ- 90 אחוז ממכשירי אנדרואיד הפעילים מריצים גרסה 4.2 ומעלה.

אין לנו אישור מפורש מגוגל ש"אמת אפליקציות "סורק את QuadRooter, אך בהתחשב בכך שגוגל הודיעה לפני חודשים, רוב הסיכויים שזה כן. ואם כן, אנדרואיד תזהה כל אפליקציה המכילה QuadRooter כמזיקה ותציג מסך אזהרה מפחיד גדול לפני שתאפשר לך להתקרב לכל מקום ליד התקנתה.

עדכון: גוגל אישרה שאימות אפליקציות יכול לאתר ולחסום את QuadRooter.

במקרה כזה, אתה עדיין "פגיע?" ובכן טכנית. ניתן להעלות על הדעת הגדרות אבטחה, לאפשר מקורות לא ידועים ולהתעלם מהאזהרה על המסך המלא שאתה עומד להתקין תוכנה זדונית ולהשבית הגדרת אבטחה נוספת במקום אחר. אבל בשלב זה, במידה רבה, זה עליכם.

4. אבטחת אנדרואיד קשה, אפילו עם תיקונים חודשיים

פן אחד מעניין בסאגת QuadRooter הוא מה שהיא מראה לנו לגבי אתגרי האבטחה באנדרואיד שנשארים, אפילו בעולם של תיקוני אבטחה חודשיים. שלוש מארבע הפגיעויות תוקנו במדבקות האחרונות באוגוסט 2016, אך ככל הנראה אחת מהן חמקה דרך הסדקים ולא תתוקן עד לתיקון בספטמבר. זו סיבה לדאגה לגיטימית לאור העובדה שהגילוי התרחש באפריל.

עם זאת, נציג קוואלקום אמר ל- ZDNet כי יצרנית השבבים הנפיקה טלאים משלה ליצרנים בין אפריל ליולי, כך שייתכן שדגמים מסוימים עודכנו מחוץ למנגנון התיקונים של גוגל. זה רק מדגיש את הבלבול הכרוך ברמת תיקון מפורשת מגוגל, בעוד יצרני מכשירים ויצרני רכיבים מספקים גם תיקוני אבטחה.

רוב יצרני הטלפונים של אנדרואיד יונקים מהנפקת תיקוני אבטחה. ואפילו מכשירים עדכניים לא יתוקנו במלואם במשך חודש נוסף.

לעת עתה, הדרך היחידה לדעת אם הטלפון שלך פגיע באופן תיאורטי היא להוריד את אפליקציית הסורק QuadRoot של צ'ק פוינט מחנות Play.

אפילו ברגע שמונפקים טלאים, הם צריכים לעבור דרך יצרני מכשירים וספקים לפני שהם נדחפים לטלפונים. ולמרות שכמה חברות כמו סמסונג, בלקברי ו- (באופן טבעי) גוגל מיהרו לדאוג שהטלאים האחרונים יהיו זמינים, מרבית האנשים שמייצרים מכשירי אנדרואיד הם כמעט לא מתקרבים בזמן - במיוחד כשמדובר בטלפונים ישנים יותר או במחירים נמוכים יותר.

QuadRooter מדגיש כיצד השכיחות של מכשירי אנדרואיד מבוססי קוואלקום הופכת אותם למטרה אטרקטיבית, בעוד שמגוון החומרה בכללותה הופך את עדכון כולם קרוב לבלתי אפשרי.

5. היינו כאן בעבר

• שם שיווקי תופס? לבדוק.
• מספר מפחיד גדול של מכשירים "פגיעים"? לבדוק.
• אפליקציית איתור בחינם שדווקא על ידי חברת האבטחה עם מוצר למכירה? לבדוק.
• אין הוכחות לשימוש בטבע? לבדוק.
• לחץ באופן כללי על התעלמות מחנות Play ומאמת אפליקציות כחסימה נגד ניצולים מבוססי אפליקציה? לבדוק.

זה אותו ריקוד שאנחנו עושים בכל שנה סביב זמן ועידת האבטחה. בשנת 2014 זה היה Fake ID. בשנת 2015, זה היה Stagefright. למרבה הצער, ההבנה בסוגיות האבטחה של אנדרואיד בתקשורת בכלל נותרה מרושלת, ומשמעות הדבר היא כי דמויות כמו "900 מיליון" המושפעים מקפצים סביב תא ההד ללא הקשר.

אם אתה מתחכם באפליקציות שאתה מתקין, אין סיבה רבה לדאוג. וגם אם אינך, רוב הסיכויים ששירותי Play ו- Verify Apps יהיה הגב שלך.

עוד: תוכנות זדוניות לאנדרואיד - האם אתה צריך לדאוג?