Ошибка в Android открывает путь вредоносным программам

Ошибка в Android открывает путь вредоносным программам

Исследователям в области безопасности удалось обнаружить уязвимости в операционной системе Google Android; эксплуатация этих ошибок может позволить злоумышленникам установить на мобильные устройства пользователей вредоносное программное обеспечение.

Всего уязвимостей две; более серьезную и опасную из них эксперты продемонстрировали в среду, 10 ноября, разместив в магазине Android Market приложение-образец. Концептуальная программа была замаскирована под расширение для популярной игры Angry Birds; при запуске она тайно устанавливала еще три приложения, которые получали доступ к адресной книге, геолокационным данным, функциям SMS, а также осуществляли соединения с удаленным сервером - и все эти действия производились в обход встроенной системы выдачи предупреждений, которая служит защитой пользователям Android.

Один из исследователей, сотрудник Scio Security Джон Оберхейд, отметил, что приложение-эксплойт удалили из магазина примерно через 6 часов. Проблема, однако, не в конкретном программном продукте, а в метках безопасности, которые Google применяет для аутентификации пользователей Android; эти метки являются частью системы, напоминающей реализацию технологии единого входа, и благодаря им пользователь может не раскрывать свой пароль третьесторонним службам. Однако в системе меток имеются недочеты, которые и проэксплуатировали специалисты по безопасности.

"Наше концепт-приложение способно использовать метки безопасности в своих целях, и с их помощью оно получает возможность выполнять все те же самые действия, что и легитимные продукты из магазина Android Market, но без появления запросов на разрешение той или иной операции", - пояснил г-н Оберхейд. - "Изучив проблему, мы выяснили, что одну-единственную метку, принадлежащую некоторой службе Android, можно задействовать для обхода любых ограничений встроенной системы защиты".

Представители Google сообщили, что в настоящее время идет работа над официальным комментарием компании по поводу выявленных г-ном Оберхейдом и его коллегой по работе с уязвимостями Заком Ланье ошибок безопасности.

Необходимо заметить, что в тот же день поступила информация о еще одной проблеме - на этот раз во встроенном Интернет-обозревателе Android. Исследователь из Великобритании продемонстрировал, как потенциальный злоумышленник может установить вредоносное ПО на коммуникатор HTC Legend под управлением Android 2.1 со всеми доступными обновлениями. Актуальный выпуск мобильной ОС Google - 2.2, но, по сведениям самой компании, 64% владельцев Android-устройств все еще работают с версией 2.1.

The Register

Android разрешит переносить passkey между менеджерами паролей

Google приблизилась к тому, чтобы наконец-то разрешить пользователям Android переносить passkey между разными менеджерами паролей. Те самые ключи доступа, которые должны были заменить пароли и сделать жизнь проще, но заодно умудрились частично запереть пользователей внутри экосистем.

Сейчас passkey считаются более безопасной альтернативой обычным паролям: не надо запоминать сложные комбинации, меньше шансов попасться на фишинг, вход подтверждается устройством.

Но есть нюанс: перенести такие ключи из одного менеджера паролей в другой бывает куда сложнее, чем хотелось бы. Безопасность безопасностью, а цифровой замок на двери всё равно раздражает.

Google работает над решением этой проблемы с прошлого года. Apple уже успела внедрить перенос passkey в сторонние менеджеры в iOS 26 и macOS 26, а вот на Android функция пока официально не заработала.

Теперь стало известно, что корпорация добра уже тестирует интерфейс переноса passkey между приложениями. В Google Password Manager появились скрытые опции «Импортировать пароли и ключи доступа» и «Экспортировать пароли и ключи доступа» вместо обычных пунктов импорта и экспорта паролей.

 

 

Согласно тестам Android Authority, функцию удалось активировать и частично проверить. При импорте Google Password Manager предлагает выбрать менеджер паролей, где уже хранятся passkey. После этого пользователь переходит в выбранное приложение, например Bitwarden, и может перенести пароли, passkey и другие сохранённые данные в менеджер Google.

С экспортом всё немного хитрее: отдельной кнопки «отправить passkey в другое приложение» пока нет. Вместо этого система должна предлагать перенос, когда пользователь открывает другой поддерживаемый менеджер паролей.

Работать всё это будет через Credential Exchange Protocol — механизм обмена учётными данными между менеджерами паролей. Его поддерживают крупные игроки вроде Google, Apple и Samsung, но на старте функция может быть доступна не для всех приложений.

RSS: Новости на портале Anti-Malware.ru