Смартфоны HTC хранят отпечатки пальцев как графические файлы в открытой папке

Смартфоны HTC хранят отпечатки пальцев в открытой папке

Биометрическая защита для смартфонов — хорошая вещь, но только если она грамотно реализована. Специалисты по безопасности из компании FireEye продемонстрировали, что не всегда реализация защиты сделана нормально. В некоторых смартфонах она такая, что угрожает безопасности самого владельца смартфона.

Например, в смартфонах HTC изображения отпечатка пальца хранятся в открытом для всех графическом файле. Украсть его может злоумышленник или вредоносное приложение.

«Хотя некоторые производители заявляют, что хранят отпечатки пальцев в зашифрованном виде в системном разделе, они по ошибке хранят их в открытом виде в общедоступной папке, — пишут авторы доклада. — На HTC One Max X отпечаток сохраняется в файл /data/dbgraw.bmp с настройкой разрешения 0666 («общедоступно»). Любой непривилегированный процесс или приложение может украсть отпечаток пальца пользователя, прочитав этот файл», пишет xakep.ru.

Авторам исследования удалось успешно восстановить отпечаток со смартфона и даже определить характеристики конкретного сканера.

 

HTC – не единственный производитель, который реализовал слабую защиту отпечатков пальцев. Большинство остальных хранят файлы в защищенной области, но известные уязвимости все-таки дают злоумышленнику возможность получить доступ к ним.

Представители HTC уже прислали официальный ответ. По их словам, специалисты компании ознакомились с отчетом FireEye и сейчас работают над исправлением бага.

Авторы исследования обращают внимание на еще одну уязвимость, присущую многим производителям, включая HTC и Samsung. Это недостаточная защита канала данных от самого сенсора. Во многих смартфонах вредоносная программа может без проблем считывать данные напрямую с сенсора, когда пользователь прикладывает к нему палец.

Украли iPhone? Apple советует не светить контакты на экране

Apple обновила рекомендации для владельцев украденных iPhone и добавила неожиданное предупреждение. Если смартфон именно украли, а не потеряли, оставлять на экране блокировки свои контакты не стоит. Раньше компания советовала указывать номер телефона или другое средство связи в режиме пропажи (Lost Mode), чтобы нашедший устройство мог вернуть его владельцу.

Теперь Apple уточняет: этот совет подходит только для потерянных гаджетов. Если же речь идет о краже, контактные данные могут сыграть против владельца.

В корпорации объясняют, что злоумышленники всё чаще используют методы социальной инженерии. Получив номер телефона жертвы, вор может позвонить от имени Apple, мобильного оператора или службы поддержки и попытаться выманить данные для доступа к аккаунту Apple ID.

Apple также напоминает о другой распространенной ошибке. После кражи нельзя удалять устройство из сервиса Find My («Локатор»).

Пока iPhone привязан к аккаунту владельца, действует блокировка активации. Она не позволяет злоумышленнику просто сбросить устройство и перепродать его как новый смартфон. Если удалить аппарат из Find My, этот защитный механизм перестанет работать.

Еще одна рекомендация — как можно быстрее перевести устройство в режим пропажи. В Apple подчеркивают, что функция Stolen Device Protection («Защита украденного устройства») действует ограниченное время и не заменяет Lost Mode.

Купертиновцы также раскрыли одну из популярных схем краж. Мошенник предлагает сфотографировать компанию друзей на чужой iPhone. Пока телефон находится у него в руках, он зажимает кнопки питания и громкости, временно отключая Face ID.

После этого владелец вынужден разблокировать устройство кодом, который злоумышленник может подсмотреть. Остается лишь дождаться удобного момента для кражи смартфона.

RSS: Новости на портале Anti-Malware.ru