Lỗi ‘Fake ID’ Của Android Có Thể Khiến Hàng Triệu Người Dùng Bị Tấn Công

Hàng triệu người sử dụng các thiết bị Android có thể sẽ bị tấn công từ các ứng dụng độc hại do một lỗ hổng trong phần mềm di động của Google. Lỗi này được phát hiện và đặt tên là ‘Fake ID’ (ID giả) bởi công ty bảo mật Bluebox Labs. Tuy nhiên, Google cho biết đã phát hành một bản vá lỗi để bảo vệ người dùng.

‘Fake ID’ đã có trong Android từ phiên bản 2.1 cho đến 4.4. Mặc dù nó đã được sửa vào tháng Tư (2014) như là một phần của bản cập nhật mới nhất, Android KitKat. Hàng triệu thiết bị vẫn có thể có rủi ro, vì theo các số liệu của Google cho thấy 82,1% người dùng Android vẫn đang sử dụng phiên bản cũ.

Trong một bài viết được công bố trên blog ngày 29 tháng 07 năm 2014, Bluebox giải thích rằng vấn đề nằm ở cách thức bảo mật ứng dụng được kiểm tra trên Android. Mỗi một ứng dụng có dấu hiệu mã hóa riêng để xác định những người có thể cập nhật, và những đặc quyền mà nó có trên một thiết bị nào đó.

Để có những dấu hiệu này, các ứng dụng hiện đang được làm dấu bằng “chứng chỉ nhận dạng”, đi theo cùng một chuỗi các bên đáng tin cậy, được cho là để bảo đảm đúng những người phù hợp đang kiểm soát phần mềm.

Có “chứng chỉ mẹ” và “chứng chỉ con”, chúng sẽ kiểm tra chéo nhau khi cài đặt, để đảm bảo chúng phù hợp và ứng dụng là đáng tin cậy. ‘Chứng chỉ mẹ’ thường được đưa ra bởi bên tạo phần mềm, chứng minh rằng nó đáng tin cậy, là một phần của ‘chuỗi chứng chỉ’.

Điều này sẽ hoạt động như một cơ chế an ninh bền vững, nhưng Bluebox Labs tuyên bố rằng toàn bộ hệ thống dấu hiệu đã bị xói mòn, vì Android đã không tiến hành kiểm tra đầy đủ. Công ty này giải thích “Nói cách khác, một nhận dạng có thể được xác nhận do một nhận dạng khác, và code mã hóa của Android sẽ không nhận ra và khiếu nại (thường bằng cách kiểm tra dấu hiệu ‘chứng chỉ con’ đối với ‘chứng chỉ’ công khai của nhà phát hành”.

Bluebox cho biết, vấn đề trở nên nghiêm trọng hơn trong các trường hợp mà các dấu hiệu cụ thể được biệt đãi. Ví dụ, bất kỳ ứng dụng có chưa một ‘chứng chỉ mẹ’ từ Adobe Systems được phép khởi động một plugin webview, được sử dụng để tải code HTML trong một ứng dụng, ở tất cả các ứng dụng khác.

Vì vậy, một kẻ tấn công nào đó có thể tạo ra một chứng chỉ mới xuất hiện với tư cách được phát hành bởi Adobe, và kết hợp nó với một ‘chứng chỉ con’ của một ứng dụng độc hại. Ứng dụng xấu này sau đó sẽ có tất cả các quyền của phần mềm Adobe mà người dùng không hề hay biết hoặc được cảnh báo.

Hacker có thể mở một plugin webview trong ứng dụng khác, nó sẽ cho phép chúng chạy những mã độc hại trên thiết bị và lây nhiễm sang điện thoại Android với các phần mềm độc hại. Chúng có thể làm như vậy bằng cách sử dụng dấu hiệu của tập tin Android Near Field Communications (NFC) để lấy được đặc quyền của ứng dụng Google Wallet. Điều này gây nguy hiểm tới dữ liệu tài chính của mọi người.

Bluebox nói thêm “Vấn đề càng phức tạp hơn khi trên thực tế, cùng một ứng dụng của Android có thể được đăng ký bởi nhiều người. Điều này cho phép hacker tạo ra một ứng dụng độc hại duy nhất mang nhiều nhận dạng giả cùng một lúc, lợi dụng các cơ hội đặc quyền xác minh dấu hiệu.

Sau công bố của Bluebox, một phát ngôn viên của Google cho biết công ty đã nhanh chóng phát hành một bản vá lỗi cho các đối tác và Dự Án Android Open Source. Và cũng nói thêm “Google Play và các ứng dụng Verify cũng đã được tăng cường để bảo vệ người dùng kể từ sản phẩm này. Hiện tại, chúng tôi đã quét tất cả các ứng dụng gửi đến Google Play cũng như xem xét cả từ bên ngoài Google Play, và chúng tôi không thấy có bằng chứng về việc lỗ hổng này đã được khai thác”.