Специалисты нашли восемь уязвимостей в VoIP-компонентах Android

Специалисты нашли восемь уязвимостей в VoIP-компонентах Android

Специалисты нашли восемь уязвимостей в VoIP-компонентах Android

Команда учёных нашла восемь уязвимостей в VoIP-компонентах операционной системы Android. Атакующий может использовать эти дыры для совершения несанкционированных звонков и даже для выполнения вредоносной кода на устройстве пользователя.

Это первое исследование такого рода. Ранее специалисты изучали защитные механизмы оборудования Voice-over-IP (VoIP) и мобильных приложений для VoIP, но ни разу до этого не смотрели в сторону VoIP-компонентов внутри самой системы Android.

Теперь же группа из трёх исследователей исправили это. За последние несколько лет учёные выработали три метода анализа уязвимости вышеупомянутых компонентов.

В основном в своих тестах эксперты полагались на технику, известную под названием фаззинг (fuzzing). Фаззинг подразумевает «бомбежку» программных компонентов случайными или вредоносными данными, после чего фиксируется и оценивается реакция этих компонентов.

По словам учёных, они подвергли фаззингу различные VoIP-протоколы: SIP [Session Initiation Protocol], SDP [Session Description Protocol] и RTP [Real-time Transport Protocol]. После этого специалисты просмотрели логи и провели аудит кода.

Тестированию подверглись только актуальные версии мобильной операционной системы: с Android 7.0 (Nougat) по 9.0 (Pie). Всего было выявлено девять уязвимостей, восемь из которых затрагивали саму ОС Android, и ещё одна — приложение VK (ВКонтакте).

Полное исследование специалистов «Understanding Android VoIP Security: A System-level Vulnerability Assessment» можно изучить и загрузить по этой ссылке.

Meta обвинили в обмане пользователей о приватности WhatsApp

В США подали коллективный иск против Meta (признана экстремистской и запрещена в России). Корпорацию обвиняют в том, что она вводит пользователей в заблуждение, рассказывая о конфиденциальности и безопасности переписок в WhatsApp (принадлежит Meta, признанной экстремистской и запрещенной в России).

Иск, как пишет Bloomberg, поступил в федеральный суд Сан-Франциско в пятницу. Его подала международная группа истцов из Австралии, Бразилии, Индии, Мексики и Южной Африки. По их версии, заявления Meta о сквозном («end-to-end») шифровании WhatsApp не соответствуют реальности.

WhatsApp много лет продвигает сквозное шифрование как ключевую особенность сервиса. Компания утверждает, что сообщения доступны только отправителю и получателю, а сама платформа не может их прочитать. В интерфейсе приложения прямо говорится, что «только участники чата могут читать, слушать или пересылать сообщения».

Однако истцы уверены в обратном. В иске утверждается, что Meta и WhatsApp якобы хранят, анализируют и имеют доступ почти ко всем «приватным» сообщениям пользователей, несмотря на публичные заявления о защите данных. Истцы обвиняют компанию и её руководство в обмане миллиардов пользователей по всему миру.

В жалобе также упоминаются некие «осведомители», которые якобы помогли раскрыть эту информацию, но конкретные имена или детали не приводятся.

Meta с обвинениями категорически не согласна. Представитель компании Энди Стоун назвал иск «надуманным» и заявил, что Meta намерена добиваться санкций в отношении адвокатов истцов. По его словам, WhatsApp уже около десяти лет использует сквозное шифрование на базе протокола Signal, а любые утверждения о том, что компания может читать сообщения пользователей, он назвал «абсурдными».

Юристы истцов просят суд придать делу статус коллективного иска. Представители юридических фирм Quinn Emanuel Urquhart & Sullivan и Keller Postman, указанные в документах, от комментариев отказались. Один из адвокатов со стороны истцов также не стал обсуждать дело публично.

Чем закончится этот спор — пока неясно. Но история уже затрагивает один из самых чувствительных вопросов для пользователей мессенджеров: можно ли на самом деле доверять заявлениям о «полной приватности» переписок.

RSS: Новости на портале Anti-Malware.ru