Смартфоны HTC хранят отпечатки пальцев в открытой папке

Биометрическая защита для смартфонов — хорошая вещь, но только если она грамотно реализована. Специалисты по безопасности из компании FireEye продемонстрировали, что не всегда реализация защиты сделана нормально. В некоторых смартфонах она такая, что угрожает безопасности самого владельца смартфона.

Например, в смартфонах HTC изображения отпечатка пальца хранятся в открытом для всех графическом файле. Украсть его может злоумышленник или вредоносное приложение.

«Хотя некоторые производители заявляют, что хранят отпечатки пальцев в зашифрованном виде в системном разделе, они по ошибке хранят их в открытом виде в общедоступной папке, — пишут авторы доклада. — На HTC One Max X отпечаток сохраняется в файл /data/dbgraw.bmp с настройкой разрешения 0666 («общедоступно»). Любой непривилегированный процесс или приложение может украсть отпечаток пальца пользователя, прочитав этот файл», пишет xakep.ru.

Авторам исследования удалось успешно восстановить отпечаток со смартфона и даже определить характеристики конкретного сканера.

 

HTC – не единственный производитель, который реализовал слабую защиту отпечатков пальцев. Большинство остальных хранят файлы в защищенной области, но известные уязвимости все-таки дают злоумышленнику возможность получить доступ к ним.

Представители HTC уже прислали официальный ответ. По их словам, специалисты компании ознакомились с отчетом FireEye и сейчас работают над исправлением бага.

Авторы исследования обращают внимание на еще одну уязвимость, присущую многим производителям, включая HTC и Samsung. Это недостаточная защита канала данных от самого сенсора. Во многих смартфонах вредоносная программа может без проблем считывать данные напрямую с сенсора, когда пользователь прикладывает к нему палец.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Пагубная привычка банков может привести к потере средств россиян

У сотрудников российских банков была отмечена одна пагубная привычка — запрашивать у клиентов коды, которые были отправлены им посредством SMS-сообщений. Обычно такой подход используется для дополнительной аутентификации. Однако эксперты в области безопасности бьют тревогу: это может привести к краже средств россиян.

Сотрудники издания «Ъ» проконсультировались с ведущими специалистами в области безопасности, которые рассказали, что в последнее время у российских банков наблюдается неправильная тенденция узнавать у клиентов короткие коды из SMS-сообщений.

«Случаи, когда банки просят называть коды из СМС, могут изменить шаблон поведения клиента и сформировать у него понимание, что это норма», — отмечает управляющий партнер экспертной группы Veta Илья Жарский.

«Однако серьезные риски из-за этого появились лишь в конце прошлого года, когда мошенники начали звонить с подмененных телефонов банка».

При этом эксперты напоминают, как ловко мошенники могут подделывать номера телефонов, с которых происходит вызов клиента кредитной организации.

В этом случае речь идет о кодах, которые банки считают нужным использовать для подтверждения личности владельца счета. Они несколько отличаются от тех, которые приходят для подтверждения трансакций (их вообще никому нельзя называть).

Однако здесь свою роль может сыграть человеческий фактор и шаблон, который сформируется за определенное время. В результате клиент банка может где-нибудь не досмотреть, назвав звонящему мошеннику код.

В связи с этим эксперты предупреждают: будьте как можно более внимательны и постоянно проверяйте поступающую информацию.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru