Баг в Android позволяет получить доступ к сетевым данным устройства

Баг в Android позволяет получить доступ к сетевым данным устройства

Баг в Android позволяет получить доступ к сетевым данным устройства

Ошибка в мобильной операционной системе Android раскрывает конфиденциальные данные пользователя  и его устройства. Таким образом, установленные на смартфоне приложения могут получить доступ к этой информации без ведома пользователя.

С помощью этого вектора атакующий теоретически может скомпрометировать такие данные, как имя сети Wi-Fi, локальные IP-адреса, данные DNS-сервера и MAC-адрес устройства.

Казалось бы, ничего серьезного, однако эти данные можно использовать для отслеживания онлайн-активности пользователя, а также для определения его местоположения в режиме реального времени.

Утечка происходит из-за внутренней функции Android, известной под названием «intents» («намерения»). Эта функция позволяет приложению или самой системе отправлять внутреннее общесистемное сообщение, которое смогут прочитать все приложения и функции, запущенные на устройстве Android.

О проблеме сообщили исследователи компании Nightwatch Cybersecurity, им удалось обнаружить, что Android передает информацию о соединении Wi-Fi и сетевом интерфейсе двух разных «намерений»: WifiManager — NETWORK_STATE_CHANGED_ACTION и WifiP2pManager — WIFI_P2P_THIS_DEVICE_CHANGED_ACTION.

Установленные в системе приложения, со своей стороны, могут перехватывать посылаемую этими «намерениями» информацию, что, соответственно, приведет к компрометации в том случае, если у них нет разрешений на работу с этими компонентами ОС.

Следовательно, данная брешь сводит на нет эффективность системы разрешений, которой известна эта мобильная операционная система. Фактически она позволяет получить доступ к конфиденциальной информации, не спрашивая при этом разрешение пользователя.

Такие утечки будут полезны, например, злоумышленникам, специализирующимся на таргетированной рекламе. Они могут присвоить атакуемому пользователю уникальный идентификатор, с помощью которого можно отслеживать действия пользователя в Сети.

Эксперты Nightwatch полагают, что этой уязвимости подвержены все версии Android, включая форки вроде FireOS от Amazon. Исследователи сообщили о проблеме Google в марте этого года, ей был присвоен идентификатор CVE-2018-9489.

Оказалось, что интернет-гигант устранил данный недостаток только в версии Android Pie (9.0), совсем обделив вниманием прошлые версии операционной системы.

В Android появился способ подтверждать имейл без кодов и ссылок

Google добавила в Android криптографически подтверждённые адреса электронной почты через Credential Manager API. Новая возможность должна упростить регистрацию, восстановление аккаунта и дополнительные проверки личности в приложениях.

Теперь пользователю не нужно переходить по ссылке из письма или вводить одноразовый код, чтобы подтвердить адрес.

Если приложение запрашивает адрес электронной почты через Credential Manager API, Android показывает нативное нижнее окно с данными, например подтверждённым адресом электронной почты.

Пользователь проверяет запрос, нажимает «Согласиться и продолжить», после чего приложение сразу получает подтверждённый имейл.

По словам представителей Google Нихарики Ароры и Жан-Пьера Прале, такая интеграция делает проверку более естественной для и удобной пользователей.

 

Новая функция работает только с личными аккаунтами Google. Workspace-аккаунты и контролируемые учётные записи пока не поддерживаются. Для работы нужен Android 9 или новее, а также Google Play версии 25.49.x или выше. Поддерживаются смартфоны, планшеты и складные устройства.

Важно, что Google подтверждает только сам адрес электронной почты. Приложение может запросить и дополнительные данные (например, имя или фото профиля), но они уже не считаются проверенными.

Разработчикам также напоминают: приложение само решает, доверяет ли оно конкретному поставщику данных. В данном случае подтверждённый имейл берётся из Google-аккаунта на устройстве, но базовый Digital Credentials API не привязан только к Google и может работать с разными провайдерами.

Google рекомендует автоматически подтверждать пользователей с адресами @gmail.com, а владельцев кастомных доменов по-прежнему проводить через существующие сценарии проверки. Это позволит не ломать доступ для доменов, которыми Google не управляет.

При этом новая функция не заменяет «Войти с аккаунтом Google».

RSS: Новости на портале Anti-Malware.ru