r   e   k   l   a   m   a
r   e   k   l   a   m   a

Odinstaluj AirDroida: popularne narzędzie synchronizacji PC i smartfonu jest pełne luk

Strona główna AktualnościBEZPIECZEŃSTWO

AirDroid jest jednym z najpopularniejszych narzędzi do łączenia komputera osobistego i smartfona z Androidem – pozwala na wysyłanie i odbieranie na komputerze wiadomości tekstowych, wyświetlanie powiadomień na pulpicie, przenoszenie plików między urządzeniami… Wszystko to jest bardzo fajne i wygodne, tylko że niestety bardzo groźne dla użytkownika. Badacze z zajmującej się bezpieczeństwem urządzeń mobilnych firmy Zimperium ujawnili luki w AirDroidzie, pozwalające napastnikom na kradzież danych, a nawet zdalne uruchomienie złośliwego kodu. Co więcej, producent programu nie potrafi tych luk załatać.

Dzięki swojej funkcjonalności i ergonomii, AirDroid cieszy się ogromną popularnością – wg statystyk sklepu Play został pobrany między 10 a 50 mln razy. Niestety przy jego tworzeniu popełniono poważny błąd projektowy. Program wykorzystuje to samo żądanie HTTP do uwierzytelnienia urządzenia mobilnego i do wysyłania statystyk użytkowania. W teorii żądanie jest zaszyfrowane, tyle że kluczem, który został umieszczony w niezaszyfrowanej formie w aplikacji, co oznacza, że każdy, kto dysponuje aplikacją, dysponuje też kluczem.

Pozwala to wszystkim użytkownikom korzystającym z tej samej sieci (np. w pracy, w szkole, czy jakiejkolwiek innej instytucji) na przeprowadzenie ataku man-in-the-middle – dysponując kluczem wydobytym z pliku APK, mogą pozyskać wrażliwe dane ofiary, w tym adres e-mail i hasło powiązane z kontem. To jednak nie wszystko, ponieważ tworząc własne proxy w sieci, można przechwycić żądania sprawdzenia dostępności uaktualnienia AirDroida i wysłać w ten sposób dowolny plik APK, który program przyjmie, prosząc użytkownika o zaakceptowanie jego instalacji jako oficjalnej aktualizacji.

r   e   k   l   a   m   a

Gdyby Sand Studio, producent aplikacji, te błędy naprawił, w zasadzie nie byłoby o czym wspominać. Badacze Zimperium informują jednak, że o swoim odkryciu poinformowali producenta poufną drogą 24 maja. Kilka dni później otrzymali potwierdzenie, że problem faktycznie występuje i zostanie naprawiony. Nic się jednak w tej kwestii nie działo, dopiero w październiku otrzymali informację, że niebawem pojawi się nowa wersja AirDroida, oznaczona numerkiem 4.0. Oprócz nowych funkcjonalności, przynieść miała załatane luki.

Niestety jednak nie przyniosła. Zimperium odkryło, że nawet najnowsza wersja aplikacji, 4.0.1, jest podatna na atak. Siedem miesięcy na naprawienie tak poważnej luki to sporo czasu, a skoro nic do tej pory nie zrobiono, najwyższy czas na ostrzeżenie użytkowników. Ze szczegółami możecie zapoznać się we wpisie Simone Margaritelli na blogu Zimperium.

Co robić i jak żyć?

W tej sytuacji jedyne, co możemy polecić, to natychmiastowe odinstalowanie AirDroida. Usunęliśmy ten program z naszej bazy oprogramowania. Dotychczasowym użytkownikom możemy polecić w zamian np. aplikację Pushbullet.

© dobreprogramy
r   e   k   l   a   m   a
r   e   k   l   a   m   a

Komentarze

r   e   k   l   a   m   a
r   e   k   l   a   m   a
Czy wiesz, że używamy cookies (ciasteczek)? Dowiedz się więcej o celu ich używania i zmianach ustawień.
Korzystając ze strony i asystenta pobierania wyrażasz zgodę na używanie cookies, zgodnie z aktualnymi ustawieniami przeglądarki.