Манипуляции Samsung с ядром Android создали дополнительный вектор атаки

Манипуляции Samsung с ядром Android создали дополнительный вектор атаки

Манипуляции Samsung с ядром Android создали дополнительный вектор атаки

Исследователи в области кибербезопасности из проекта Google Project Zero недовольны манипуляциями Samsung с ядром мобильной операционной системы Android. Эксперты считают, что корейский техногигант создал ещё больше векторов атак.

Специалист из команды Project Zero Дженн Хорн проанализировала ядро Android, поставляемое Samsung в устройствах Galaxy A50. В результате Хорн пришла к выводу, что меры безопасности, реализованные корейской корпорацией, лишь снизили общую защищённость смартфонов.

Например, Samsung пытался реализовать механизм защиты, который должен ограничивать доступ атакующих к чтению и модификации пользовательских данных.

Однако, по словам специалиста из Project Zero, эта функция не только не выполняла возложенную на неё задачу, но и создавала дополнительные уязвимости, приводящие к выполнению кода.

Хорн даже разработала пример эксплойта (PoC-код), демонстрирующий получение доступа к токенам аутентификации.

При этом процесс эксплуатации подразумевал использование другой уязвимости, но уже в ядре Linux — CVE-2018-17972. Эта брешь устранена в текущей версии ядер Linux и Android, однако Samsung поставляет смартфоны с уязвимым ядром.

«Защитные механизмы Samsung неспособны уберечь вас от атак злоумышленников, они лишь блокируют обычные инструменты для рутинга», — объясняет Хорн.

«Моё мнение: подобные манипуляции с ядром того не стоят — они создают дополнительный вектор атаки».

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Роскомнадзор предлагает отменить сбор согласий на обработку ПДн

В Роскомнадзоре сочли, что институт согласий на обработку персональных данных стал слишком обременительным для граждан, и предлагают вместо этого создать отраслевые стандарты обработки такой информации, облегчив регулирование.

Количество согласий на обработку ПДн, которые приходится заявлять на различных сайтах и сервисах, умножилось до такой степени, что россиянам стало трудно их контролировать. Правительство даже решило в помощь гражданам запустить на Госуслугах специальный реестр.

«Институт согласий как таковых, на наш взгляд, крайне устаревший, — цитирует «Интерфакс» заявление главы РКН Андрея Липова. — Он, наверное, был эффективен на заре появления 152-ФЗ об обработке персональных данных, когда оставлял содержание согласия на усмотрение гражданина и той компании, куда человек пришел и которая просит его такое согласие подписать».

Вместе с тем потребности в ПДн в разных сферах хозяйственности деятельности неодинаковы. Набор личных данных, важных для туристического бизнеса, отличается от состава, удовлетворяющего нуждам учебных заведений.

РКН в лице Липова предлагает упразднить сбор согласий и переходить к отраслевому регулированию: разработать стандарты на уровне соответствующих ведомств, убедиться в их действенности на практике и после этого ставить дифференцированную обработку персональных данных на контроль.

Соответствующие предложения регулятора были направлены правительству для включения во второй пакет мер по борьбе с кибермошенничеством (по плану, его должны внести в Госдуму до конца года).

Как недавно выяснилось, все требования закона о защите персональных данных (152-ФЗ) соблюдают лишь 30% российских компаний. Остальные пока далеки от полного соответствия.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru