Asus, Essential, LG i ZTE su se obećali da će ispraviti sigurnosne greške koje je pronašla sigurnosna kompanija Kryptowire, kako navodi Wired. Istraživanje sigurnosne kompanije je bilo usmereno ka tome da ukaže na to da neki sigurnosni propusti potiču od koda koji su kreirali proizvođači telefona kako bi modifikovali Android.
Istraživači su pronašli greške u firmvare-u kod 10 različitih uređaja koje nude glavni američki operateri. Sigurnosni propusti mogu dovesti do brojnih problema, od toga da se omogući napadaču da zaključa nekoga od pristupa uređaju, da dobije kontrolu nad mikrofonom i drugo. Većina napada, koje su istraživači detaljno naveli, zahteva od korisnika da preuzmu neku vrstu zlonamerne aplikacije pre nego što bi se mogli iskoristiti propusti u firmvare-u. Istraživanje je predstavljeno na bezbednosnoj konferenciji Black Hat USA.
Prema Kryptowire-u, ove ranjivosti proističu iz otvorene prirode Android-a, koja omogućava trećim stranama da ispravljaju kod i vrše izmene ili kreiraju potpuno različite verzije Android-a. Međutim, kako su istraživači otkrili, ovaj otvoreni sistem može dovesti i do pukotina u sigurnosti telefona. Wired ističe da istraživanje na ove nedostatke gleda kao na problem koji je svojevrstan za Android.
“Mnogi ljudi u lancu snabdevanja žele da budu u mogućnosti da dodaju sopstvene aplikacije, prilagođavanja, dodaju svoju sopstveni kod”, ističe Kryptowire CEO Angelos Stavrou. “To povećava polje napada i povećava verovatnoću greške softvera.”
Jedan naročito loš primer je pronađen u Asus Zenfone V Live pametnom telefonu. Kryptowire je pronašao dovoljno rupa u kodu kako bi korisnicima pokazao potpuno preuzimanje ovog uređaja – screenshotovi i video snimci se mogu skidati sa ekrana, a neko bi teoretski mogao da čita i menja tekstualne poruke. Asus je istakao da je “svestan nedavno otkrivenih sigurnosnih problema” i da radi na tome da ih uz pomoć zakrpe brzo otkloni.
Essential, LG i ZTE su za Wired odgovorili da su popravili neke ili sve probleme koje je identifikovao Kryptowire nakon što ih je sigurnosna kompanija upozorila. Međutim, nije potpuno jasno da li su ove zakrpe isporučene svim korisnicima. Kao ističu istraživači, ovaj proces ažuriranja je sam po sebi neefikasan za mnoge, jer su ažuriranjima često potrebni meseci kako bi našla svoj put do korisničkih uređaja.
(benchmark)
