Android хранит пароли в открытом виде

Android хранит пароли в открытом виде

Android хранит пароли в открытом виде

В своем сообщении на официальном форуме поддержки операционной системы Android один из пользователей пожаловался, что все пароли хранятся в постоянной памяти устройств открытым текстом.

Он сказал: "Пароли к почтовым ящикам сохраняются в базе данных SQLite, которая в свою очередь хранится в файловой системе телефона в открытом виде. Крайне желательно шифрование или, по крайней мере, преобразование сохраненных паролей."

На это сообщение ответил  Энди Стэдлер, специлист технической поддержки:

"Здравствуйте! Спасибо за информацию и обращение с этим  вопросом.

Во-первых, я хотел бы напомнить пользователям, если вы обеспокоены этой проблемой, *пожалуйста* просто, нажмите на звездочку. Каждый раз, когда вы отвечаете "пожалуйста, почините" или "это должно быть устранено!", происходит рассылка электронных писем на адреса более 200 человек.

Во-вторых, пожалуйста, знайте, что мы относимся к информационной безопасности очень серьезно, и заботимся о ней в платформе Android сразу на нескольких уровнях.

Теперь, относительно этого конкретного случая. Первая вещь, требующая разъяснений, состоит в том, что почтовое приложение поддерживает четыре протокола - POP3, IMAP, SMTP, и Exange ActiveSync - и с очень немногими, очень ограниченными исключениями, все они - старые протоколы, которые требуют, чтобы клиент передавал пароль серверу при каждой связи. Эти протоколы требуют, чтобы  пароль был сохранен в устройстве на протяжении всего периода использования каждой учетной записи на данном устройстве. Более новые протоколы не делают этого. Они позволяют клиенту использовать пароль лишь однажды для создания токена (уникального идентификатора, заменяющего собой пароль и действительного только для данного устройства), сохранить токен и отказаться от использования пароля в дальнейшем.

Я убеждаю Вас рассмотреть статью, указанную в комментарии #38, которая весьма информативно и понятно написана. Она содержит очень глубокое объяснение различии между "сокрытием" паролей, и обеспечением их "действительной безопасности". Просто скрывая ваш пароль (например кодируя его в base64) или шифруя его с ключом, сохраненным в в другой области памяти устройства, вы *не* сделаете ваш пароль или ваши данные более безопасными. Атакующий все еще будет в состоянии заполучить его.

(В частности, некоторые жалобы были поданы в отношении других почтовых клиентов, не хранящих пароль в открытом виде. Даже в этих случаях ничто не указывает, что пароль находится в более безопасном состоянии. Простой тест: если вы можете запустить устройство, и оно начнет получать электронное письма с ваших настроенных почтовых аккаунтов, то пароли уже не находятся в безопасности. Они только обфуцированы, или зашифрованы при помощи другого ключа, сохраненного где-то еще в другом месте.)

Автору комментария #44: Если вы можете получить *любые* данные из файлов в директориях /data/data/* на устройстве с блокированными привилегиями суперпользователя, это - проблема безопасности в устройстве, не ошибка в почтовой программе. Я настоятельно рекомендую вам связаться с нашей командой по безопасности и предоставить больше информации (подробности: http://developer.android.com/guide/appendix/faq/security.html)

Не беспокойтесь, сказав все это, я тем не менее оставляю данную заявку открытой. Мы признаем, что это вызывает беспокойство для некоторых пользователей, и мы собираемся определить действия, которые помогут обеспечить вашим данным подобающий уровень безопасности."

" />

Родительский контроль без доверия не работает, дети научатся его обходить

Слежка за детьми и запреты без объяснения причин могут превратить их в «цифровых партизан», которые быстро научатся обходить родительские ограничения. При этом базовые средства родительского контроля способны решать многие насущные задачи: они бесплатны, достаточно гибки и позволяют не только ограничивать доступ, но и формировать у ребёнка здоровые цифровые привычки.

Такое мнение в комментарии ТАСС высказал директор Института открытого дистанционного образования Новосибирского государственного педагогического университета Николай Пель.

По его словам, базовые инструменты родительского контроля позволяют закрыть сразу несколько задач:

«Эти сервисы позволяют ограничивать время в приложениях, одобрять установку игр, блокировать отдельные откровенно опасные сайты на уровне браузера либо контролировать время и характер занятий ребёнка в сети уже по факту. То есть формировать хорошие привычки, правильный паттерн цифровой жизни ребёнка».

По оценке эксперта, такие средства могут помочь, например, вернуть системный аккаунт в случае его кражи. Однако рассматривать родительский контроль как панацею не стоит. Важно выстроить доверительные отношения с ребёнком, чтобы он не воспринимал ограничения как «цифровой поводок», от которого нужно избавиться. Тем более что слишком жёсткие запреты могут мешать учебным задачам, где требуется искать информацию в интернете.

Ключевой проблемой, предупреждает Николай Пель, может стать страх наказания. Если ребёнок случайно перейдёт по фишинговой ссылке или сообщит код из СМС, он может попытаться скрыть случившееся, опасаясь, что у него навсегда отберут телефон. В такой ситуации технические и организационные меры контроля могут просто не сработать.

«Самое важное знание для ребёнка — алгоритм действий, когда что-то пошло не так. "Если ты кликнул и испугался — замри. Закрой глаза или экран. Позови меня! Позвони мне тут же, сейчас же, что бы там ни писали и ни говорили! Мы не будем кричать, я просто помогу тебе закрыть проблему без последствий или с минимальными последствиями". Ребёнок должен знать: если он случайно сообщил код из СМС мошеннику, счёт идёт на минуты. Нельзя пытаться решить проблему самому, нужно немедленно звонить родителям и в банк. Обесценивание проблемы гарантирует, что в следующий раз вы узнаете о проблеме, когда деньги уже будут списаны», — предупреждает Николай Пель.

При этом дети не должны иметь доступа к устройствам родителей и их аккаунтам. На это также часто рассчитывают злоумышленники при атаках на несовершеннолетних.

Кроме того, мошенники используют ситуацию, когда родители оформляют сим-карты для детей на себя. Злоумышленники выманивают у несовершеннолетних коды подтверждения и затем оформляют покупки с рассрочкой на маркетплейсах. По такой схеме действовала группа, задержанная в феврале: на её счету 16 эпизодов подобных краж в разных регионах России.

RSS: Новости на портале Anti-Malware.ru