Kryptowire: urządzenia z systemem Android narażone są na poważne ataki, a winę ponoszą operatorzy

Tak wiem, że powyższy tytuł brzmi niczym kompletny banał. Nie chodzi jednak o rzucanie frazesami, bo tym razem problem jest naprawdę szczególny, chociaż ma różne podłoża. Ale do rzeczy. Na konferencji Black Hat w Las Vegas, poświęconej cyberbezpieczeństwu, o której mogliście słyszeć już w kontekście luki typu backdoor w zabezpieczeniach procesorów VIA C3, sporą część czasu poświęcono także urządzeniom z systemem Android. Patrząc przekrojowo, spostrzeżenia dotyczące ich bezpieczeństwa nie napawają optymizmem.

Jeszcze w czerwcu bieżącego roku międzynarodowa grupa badawcza, złożona z naukowców uniwersyteckich, opublikowała opasły dokument na temat ataków tak zwaną *metodą Rowhammer. Technicznie rzecz biorąc, jest to sposób na szkodliwe wykorzystanie zjawiska przeskoku bitu*, czyli sprzętowej niedoskonałości współczesnych modułów pamięci DRAM. Dążąc do coraz wyższych pojemności, producenci DRAM regularnie zwiększają zagęszczenie komórek. To z kolei prowadzi do wzrostu zakłóceń i interferencji pomiędzy nimi, umożliwiając w rezultacie niepożądaną zmianę wartości jednego z bitów. Przy czym jest rzeczą powszechnie wiadomą, że takie zjawisko można w kontrolowany sposób wywołać, odpowiednio adresując pamięć.

Mając świadomość zagrożenia, jakim jest przeskok bitu, swego czasu przygotowano narzędzie GuardION, odpowiadające za izolację wierszy pamięci. Ale czerwcowy raport wykazał, że ochrona sprawdza się tylko w wybranych scenariuszach: przy próbie zamiany bitu w innym procesie lub pamięci jądra. Inne rodzaje ataków Rowhammer pozostają możliwe.

Teraz – specjaliści z zespołu Kryptowire wzięli pod lupę szerokie spektrum smartfonów marek takich jak ASUS, Essential, LG oraz ZTE. Jak twierdzą na podstawie zebranego materiału, piętą achillesową wszystkich przebadanych konstrukcji jest oprogramowanie firm trzecich. Ponoć to właśnie tam rodzą się procesy, w które hakerzy mogą dowoli ingerować. Co ciekawe, winą w stopniu szczególnym obarczono operatorów sieci komórkowych. Zdaniem Kryptowire dostawcy sygnału instalują software przeważnie nienadzorowany, a to nie dość że otwiera furtki hakerom, to w dodatku istotnie opóźnia aktualizacje bezpieczeństwa samego systemu operacyjnego Android.

Aby nie być gołosłownym, na przykładzie smartfonu ASUS ZenFone V Live pokazano, jak można wykorzystać fabryczne oprogramowanie do całkowitego przejęcia słuchawki, uwzględniając inicjowanie połączeń i przechwytywanie zawartości ekranu. Wykorzystana metoda ataku z oczywistych względów nie została zaprezentowana publicznie, ale przyznajcie, w kontekście popularności "robocika" brzmi to cokolwiek niepokojąco. Co gorsza, wszyscy ww. producenci zostali rzekomo poinformowani, przez ekipę Kryptowire, o uchybieniach i błyskawicznie wydali aktualizacje, ale jako iż dystrybucja łatek zależy w głównej mierze od operatorów, tylko nieliczne urządzenia rzeczywiście otrzymały update.

A jakie są wnioski? Ogólnie rzecz biorąc, z raportu wynika, że lepiej trzymać się urządzeń z możliwie czystym systemem, które regularnie otrzymują aktualizacje OTA.

I cóż, entuzjaści Androida raczej wiedzą o tym od dawna, aczkolwiek wśród argumentów przemawiających za minimalizacją ilości bloatware'u dominuje większa szybkość działania sprzętu, nie bezpieczeństwo. Uznajmy zatem, że ekipa Kryptowire dorzuca kolejną cegiełkę. Osobiście jestem przy tym niezwykle ciekaw, czy któryś z krajowych dostawców telefonii komórkowej weźmie sobie zaprezentowane przez ekspertów uwagi do serca. Pożyjemy, zobaczymy – jak to mawiają.