Sisällysluettelo:
- Mikä on haavoittuvuus ja miksi se on niin paha?
- Kuinka voit varmistaa, että olet turvassa
- Mitä olemme oppineet tästä prosessista
Google on juuri julkistanut, että se havaitsi Epicin ensimmäisessä Fortnite Android -sovelluksessa erittäin vakavan haavoittuvuuden, jonka avulla puhelimesi kaikki sovellukset voivat ladata ja asentaa mitä tahansa taustalle, mukaan lukien sovellukset, joille on myönnetty täydet käyttöoikeudet, käyttäjän tietämättä. Googlen turvallisuusryhmä paljasti haavoittuvuuden ensin Epic Gamesille 15. elokuuta, ja on sittemmin julkaissut tiedot julkisesti sen jälkeen, kun Epic on vahvistanut, että haavoittuvuus on korjattu.
Lyhyesti sanottuna, tämä oli juuri sellainen hyväksikäyttö, jota Android Central ja muut olivat pelänneet tapahtuvan tällaisen asennusjärjestelmän kanssa. Tässä on mitä sinun on tiedettävä haavoittuvuudesta ja kuinka varmistaa, että jatkat turvallisesti.
Mikä on haavoittuvuus ja miksi se on niin paha?
Kun siirryt lataamaan "Fortnite", et itse lataa koko peliä, lataat ensin Fortnite Installerin. Fortnite Installer on yksinkertainen sovellus, jonka lataat ja asennat ja joka sitten lataa koko Fortnite-pelin suoraan Epiciltä.
Fortnite Installer -sovellusta oli helppo hyödyntää kaappaamaan koko pelin latauspyyntö.
Ongelma, kuten Googlen turvallisuusryhmä havaitsi, oli, että Fortnite Installer oli erittäin helppo hyödyntää kaapaamaan pyyntö ladata Fortnite Epicistä ja sen sijaan lataamaan kaikki, kun napautat nappia pelin lataamiseksi. Se on niin kutsuttu "ihminen levyllä" -hyökkäys: puhelimesi sovellus etsii jotain Internetistä latauspyyntöjä ja sieppaa pyynnöt ladata jotain muuta sen sijaan, että tiedät alkuperäisen lataussovelluksen. Tämä on mahdollista puhtaasti siksi, että Fortnite Installer on suunniteltu väärin - Fortnite Installerilla ei ole aavistustakaan, että se vain helpotti haittaohjelmien lataamista ja napauttamalla "Käynnistä" jopa käynnistää haittaohjelman.
Hyödyntääksesi tarvitset puhelimeesi asennetun sovelluksen, joka etsii tällaista haavoittuvuutta - mutta kun otetaan huomioon Fortniten suosio ja julkaisun ennakointi, on erittäin todennäköistä, että siellä on epämiellyttäviä sovelluksia, jotka ovat tekevät juuri sen. Usein puhelimiin asennetuilla haittaohjelmilla ei ole niitä yhtä hyödyntämistä, heillä on koko hyötykuorma, joka on täynnä monia tunnettuja testattavia haavoittuvuuksia, ja tämäntyyppinen hyökkäys voi olla yksi niistä.
Yhdellä napautuksella voit ladata haittaohjelman, jolla oli täydet käyttöoikeudet ja pääsy kaikkiin puhelimesi tietoihin.
Tässä ovat asiat todella huonot. Androidin käyttöoikeusmallin toimivuuden takia sinun ei tarvitse hyväksyä sovelluksen asentamista "tuntemattomista lähteistä" pidemmäksi ajaksi kuin olet hyväksynyt kyseisen asennuksen Fortnitelle. Tämän hyödyntämisen toimivuuden takia asennusprosessin aikana ei ole merkkejä siitä, että lataat jotain muuta kuin Fortnite (ja myöskään Fortnite Installerilla ei ole tietoa), kun taas taustalla on asennettuna täysin erilainen sovellus. Tämä kaikki tapahtuu Fortnite Installer -sovelluksen odotettavissa olevan asennuksen kuluessa - hyväksyt asennuksen, koska luulet asentavasi peliä. Erityisesti Samsung-puhelimissa, jotka saavat sovelluksen Galaxy Appsilta, tilanne on hieman huonompi: ei ole edes ensimmäistä kehotusta sallia "tuntemattomista lähteistä", koska Galaxy Apps on tunnettu lähde. Meneen pidemmälle, äskettäin hiljaa asennettu sovellus voi ilmoittaa ja saada kaikki mahdolliset luvat ilman erillistä suostumustasi. Ei ole väliä onko sinulla puhelimesi Android Lollipopilla tai Android Pie -sovelluksella vai sammutitko "tuntemattomat lähteet" Fortnite Installer -sovelluksen asentamisen jälkeen - heti, kun olet asentanut puhelimen, hyökkäys voi tapahtua heti.
Googlen Hyödyntäjä-sivulla hyödynnetään nopeasti näytön tallennus, joka osoittaa kuinka helposti käyttäjä voi ladata ja asentaa Fortnite Installer -sovelluksen, tässä tapauksessa Galaxy Apps Storesta, ja ajatella, että he lataavat Fortniteä samalla kun lataavat ja asentavat haittaohjelmia. sovellus, jolla on täydet käyttöoikeudet - kamera, sijainti, mikrofoni, tekstiviestit, tallennustila ja puhelin - nimeltään "Fortnite". Se vie muutaman sekunnin eikä käyttäjän vuorovaikutusta.
Joo, tämä on aika huono.
Kuinka voit varmistaa, että olet turvassa
Onneksi Epic toimi nopeasti korjatakseen hyväksikäytön. Epicin mukaan hyökkäys korjattiin alle 48 tunnin kuluttua ilmoituksesta ja se otettiin käyttöön jokaisessa aiemmin asennetussa Fortnite Installer -sovelluksessa - käyttäjien tarvitsee vain päivittää asennusohjelma, mikä on yhden kosketuksen tapaus. Korjauksen tuonut Fortnite Installer on versio 2.1.0, jonka voit tarkistaa käynnistämällä Fortnite Installer -sovelluksen ja siirtymällä sen asetuksiin. Jos lataat jostain syystä Fortnite Installer -sovelluksen aikaisemman version, se kehottaa sinua asentamaan 2.1.0 (tai uudemman) ennen Fortnite-ohjelmiston asentamista.
Jos sinulla on versio 2.1.0 tai uudempi, olet turvassa tältä tietyltä haavoittuvuudelta.
Epic Games ei ole julkaissut tietoja tästä haavoittuvuudesta sen ulkopuolella, että voimme vahvistaa, että se on korjattu asentajan versiossa 2.1.0, joten emme tiedä, onko sitä aktiivisesti käytetty luonnossa. Jos Fortnite Installer on ajan tasalla, mutta olet edelleen huolissasi siitä, koskiko sinua tämä haavoittuvuus, voit poistaa Fortniten ja Fortnite Installerin, suorittaa sitten asennusprosessi uudelleen varmistaaksesi, että Fortnite-asennus on oikeutettu. Voit suorittaa (ja pitäisi myös) suorittaa skannauksen Google Play Protect -sovelluksella tunnistaaksesi kaikki haittaohjelmat, jos ne on asennettu.
Googlen tiedottaja kommentoi tilannetta seuraavasti:
Käyttäjien tietoturva on ensisijainen tavoite, ja osana ennakoivaa haittaohjelmien seurantaa havaitsimme Fortnite-asentajan haavoittuvuuden. Ilmoitimme heti Epic Gamesille ja he korjasivat ongelman.
Epic Games toimitti toimitusjohtaja Tim Sweeneyn seuraavan kommentin:
Epic arvosti aidosti Googlen pyrkimyksiä suorittaa Fortniten perusteellinen tietoturvatarkastus heti Android-julkaisemme jälkeen ja jakaa tulokset Epicin kanssa, jotta voimme nopeasti julkaista päivityksen heidän havaitsemiensa virheiden korjaamiseksi.
Googlelle oli kuitenkin vastuutonta julkistaa puutteen tekniset yksityiskohdat niin nopeasti, vaikka monia asennuksia ei ollut vielä päivitetty ja ne olivat edelleen haavoittuvia.
Epic-tietoturvainsinööri pyysi kehotukseni Googlea viivästyttämään julkista ilmoitusta tyypillisissä 90 päivässä, jotta päivityksen asennusta varten olisi enemmän aikaa. Google kieltäytyi. Voit lukea kaiken osoitteessa
Googlen tietoturvaanalyysipyrkimykset ovat arvostettuja ja hyödyttävät Android-alustaa. Kuitenkin niin voimakkaan yrityksen kuin Googlen tulisi harjoittaa vastuullisempaa julkistamisen ajoitusta kuin tämä, eikä se vaaranna käyttäjiä PR-vastatoimissaan Epicin jakeluun Fortnite Google Playn ulkopuolella.
Google on saattanut hypätä haisiin Epicin mielessä, mutta tämä toimintatapa noudatti selvästi Googlen politiikkaa 0 päivän haavoittuvuuksien paljastamiseksi.
Mitä olemme oppineet tästä prosessista
Toistan jotain, mitä Android Centralissa on jo todettu jo vuosia: On uskomattoman tärkeää asentaa sovelluksia vain luotettavien yritysten ja kehittäjien toimesta. Tämä hyvä hyödyntäminen vaatii silti sekä Fortnite Installer -sovelluksen asentamista että toista haittaohjelmaa, joka vaatisi haitallisempien haittaohjelmien lataamista. Fortniten valtavan suosion myötä on olemassa suuri mahdollisuus, että nuo piirit menevät päällekkäin, mutta sen ei tarvitse tapahtua sinulle.
Juuri tällaisesta haavoittuvuudesta olimme huolissamme, ja se tapahtui päivänä 1.
Yksi huolemme alusta alkaen päätöksestä asentaa Fortnite Play-kaupan ulkopuolelle oli, että pelin suosio voittaisi ihmisten yleisen järkevyyden pysyä Play-kaupassa sovelluksilleen. Tämä on sellainen haavoittuvuus, joka todennäköisesti sattuu Play Kauppaan siirtymisen tarkistusprosessiin, ja se korjataan ennen kuin suuri joukko ihmisiä lataa sen. Ja puhelimessa olevan Google Play Protect -sovelluksen avulla Google voisi etäyhteyden kautta tappaa ja poistaa sovelluksen, jos se koskaan päätyi villiin.
Google puolestaan onnistui edelleen tarttumaan tähän haavoittuvuuteen, vaikka sovellusta ei jaettaisi Play Kaupan kautta. Tiedämme jo, että Google Play Protect pystyy skannaamaan puhelimesi sovelluksia, vaikka ne olisi asennettu suoraan verkosta tai muusta sovelluskaupasta, ja tässä tapauksessa tätä prosessia tuki Googlen lahjakas tietoturvatiimi, joka löysi haavoittuvuuden ja ilmoitti sen kehittäjälle. Tämä prosessi tapahtuu tyypillisesti taustalla ilman paljon fanfaareja, mutta kun puhumme Fortniten kaltaisesta sovelluksesta, jolla on todennäköisesti kymmeniä miljoonia asennuksia, se osoittaa, kuinka vakavasti Google suhtautuu Androidin tietoturvaan.
Päivitys: Tämä artikkeli on päivitetty selkeällä tiedolla hyväksikäytöstä ja Epic Gamesin toimitusjohtajan Tim Sweeneyn kommentilla.
