Lỗi ‘Fake ID’ Của Android Có Thể Khiến Hàng Triệu Người Dùng Bị Tấn Công

01 Tháng Tám 201412:06 SA(Xem: 12135)
Lỗi ‘Fake ID’ Của Android Có Thể Khiến Hàng Triệu Người Dùng Bị Tấn Công

blank
Hàng triệu người sử dụng các thiết bị Android có thể sẽ bị tấn công từ các ứng dụng độc hại do một lỗ hổng trong phần mềm di động của Google. Lỗi này được phát hiện và đặt tên là ‘Fake ID’ (ID giả) bởi công ty bảo mật Bluebox Labs. Tuy nhiên, Google cho biết đã phát hành một bản vá lỗi để bảo vệ người dùng.

‘Fake ID’ đã có trong Android từ phiên bản 2.1 cho đến 4.4. Mặc dù nó đã được sửa vào tháng Tư (2014) như là một phần của bản cập nhật mới nhất, Android KitKat. Hàng triệu thiết bị vẫn có thể có rủi ro, vì theo các số liệu của Google cho thấy 82,1% người dùng Android vẫn đang sử dụng phiên bản cũ.

Trong một bài viết được công bố trên blog ngày 29 tháng 07 năm 2014, Bluebox giải thích rằng vấn đề nằm ở cách thức bảo mật ứng dụng được kiểm tra trên Android. Mỗi một ứng dụng có dấu hiệu mã hóa riêng để xác định những người có thể cập nhật, và những đặc quyền mà nó có trên một thiết bị nào đó.

Để có những dấu hiệu này, các ứng dụng hiện đang được làm dấu bằng “chứng chỉ nhận dạng”, đi theo cùng một chuỗi các bên đáng tin cậy, được cho là để bảo đảm đúng những người phù hợp đang kiểm soát phần mềm.

Có “chứng chỉ mẹ” và “chứng chỉ con”, chúng sẽ kiểm tra chéo nhau khi cài đặt, để đảm bảo chúng phù hợp và ứng dụng là đáng tin cậy. ‘Chứng chỉ mẹ’ thường được đưa ra bởi bên tạo phần mềm, chứng minh rằng nó đáng tin cậy, là một phần của ‘chuỗi chứng chỉ’.

Điều này sẽ hoạt động như một cơ chế an ninh bền vững, nhưng Bluebox Labs tuyên bố rằng toàn bộ hệ thống dấu hiệu đã bị xói mòn, vì Android đã không tiến hành kiểm tra đầy đủ. Công ty này giải thích “Nói cách khác, một nhận dạng có thể được xác nhận do một nhận dạng khác, và code mã hóa của Android sẽ không nhận ra và khiếu nại (thường bằng cách kiểm tra dấu hiệu ‘chứng chỉ con’ đối với ‘chứng chỉ’ công khai của nhà phát hành”.

Bluebox cho biết, vấn đề trở nên nghiêm trọng hơn trong các trường hợp mà các dấu hiệu cụ thể được biệt đãi. Ví dụ, bất kỳ ứng dụng có chưa một ‘chứng chỉ mẹ’ từ Adobe Systems được phép khởi động một plugin webview, được sử dụng để tải code HTML trong một ứng dụng, ở tất cả các ứng dụng khác.

Vì vậy, một kẻ tấn công nào đó có thể tạo ra một chứng chỉ mới xuất hiện với tư cách được phát hành bởi Adobe, và kết hợp nó với một ‘chứng chỉ con’ của một ứng dụng độc hại. Ứng dụng xấu này sau đó sẽ có tất cả các quyền của phần mềm Adobe mà người dùng không hề hay biết hoặc được cảnh báo.

Hacker có thể mở một plugin webview trong ứng dụng khác, nó sẽ cho phép chúng chạy những mã độc hại trên thiết bị và lây nhiễm sang điện thoại Android với các phần mềm độc hại. Chúng có thể làm như vậy bằng cách sử dụng dấu hiệu của tập tin Android Near Field Communications (NFC) để lấy được đặc quyền của ứng dụng Google Wallet. Điều này gây nguy hiểm tới dữ liệu tài chính của mọi người.

Bluebox nói thêm “Vấn đề càng phức tạp hơn khi trên thực tế, cùng một ứng dụng của Android có thể được đăng ký bởi nhiều người. Điều này cho phép hacker tạo ra một ứng dụng độc hại duy nhất mang nhiều nhận dạng giả cùng một lúc, lợi dụng các cơ hội đặc quyền xác minh dấu hiệu.

Sau công bố của Bluebox, một phát ngôn viên của Google cho biết công ty đã nhanh chóng phát hành một bản vá lỗi cho các đối tác và Dự Án Android Open Source. Và cũng nói thêm “Google Play và các ứng dụng Verify cũng đã được tăng cường để bảo vệ người dùng kể từ sản phẩm này. Hiện tại, chúng tôi đã quét tất cả các ứng dụng gửi đến Google Play cũng như xem xét cả từ bên ngoài Google Play, và chúng tôi không thấy có bằng chứng về việc lỗ hổng này đã được khai thác”.
56Vote
40Vote
30Vote
20Vote
10Vote
56
Gửi ý kiến của bạn
Tắt
Telex
VNI
Tên của bạn
Email của bạn
Tạo bài viết
22 Tháng Tám 2018
Nếu chế độ "undo" trước đây của Gmail được dùng để hủy email trước khi gửi, hiện nay nó đã có thể giúp lấy lại cả email đã được gửi đi. Tính năng mới đã được cập nhật trên ứng dụng Gmail trong phiên bản Android 8.7 mới nhất.
30 Tháng Bảy 2018
Khoảng cuối tháng 07/2018, một số nguồn tin cho biết, Google sẽ thực hiện nhiều biện pháp để thanh lọc kho ứng dụng Play Store của hãng. Theo Chính sách Nhà phát triển mới được cập nhật của công ty, Google sẽ bắt đầu cấm trên phạm vi rộng hơn các ứng dụng xấu, bao gồm ứng dụng đào tiền điện tử, ứng dụng bán vũ khí, ứng dụng lừa trẻ nhỏ tải nội dung người lớn và các ứng dụng được tạo ra nhờ công cụ tự động hoặc mẫu có sẵn.
27 Tháng Bảy 2018
Khoảng cuối tháng 07/2018, Google đã phát hành Android P bản Developer Preview 5 (Android P Beta 4) trước khi phát hành bản chính thức vào tháng 09/2018.
20 Tháng Bảy 2018
Khoảng giữa tháng 07/2018, một số nguồn tin cho biết, Samsung đang muốn mang một trong những tính năng cao cấp nhất của dòng Galaxy lên một số mẫu smartphone giá rẻ, nhằm tạo thế cạnh tranh trực tiếp với model iPhone giá rẻ của Apple.
10 Tháng Bảy 2018
Tính đến tháng 07/2018, trình duyệt Firefox của Mozilla đã quá quen thuộc đối với rất nhiều người dùng. Và công ty có thể sẽ phát triển thêm một trình duyệt hoàn toàn mới dành cho những thiết bị Android.
28 Tháng Năm 2018
Khoảng cuối tháng 05/2018, Samsung và Disney hợp tác công bố bộ AR Emoji mới với sự tham gia của các nhân vật hoạt hình trong phim Gia đình siêu nhân Incredibles.