FakeID – nova grožnja za Android

Varnostni strokovnjaki podjetja BlueBox labs so odkrili novo veliko ranljivost v operacijskem sistemu Android, ki se z lažnimi identifikacijami lahko prikrade do uporabnikovih podatkov in v druge programe vgradi svojo zlonamerno kodo.

Ranljivost je še posebej nevarna, ker za vdor zlonamerni programi sploh ne potrebujejo kakih posebnih pravic, da poseže v druge, navidez varne programe. Povrh vsega lahko en »okužen« program vsebuje več kosov zlonamerne kode, kar pomeni, da izvaja hkrati več različnih napadov.

Ranljvost imenovana FakeID uporablja lažne certifikate, s katerimi se predstavlja kot avtorizirana aplikacija in s tem pridobi pravico do sprememb drugih programov. Lep primer je denimo izkoriščanje vtičnika Adobe Flash, ki sicer dobi pravico za delovanje zvkombinaciji z različnimi drugimi aplikacijami na Androidu. Še posebej nevarna je možnost lažne predstavitev z certifikatom digitalne denarnice Google Wallet, kjer lahko pride do kraje ključnih podatkov o kreditnih karticah uporabnika. Ranljivost bi se lahko aktivirala tudi prek uporabe različnih »ovojnic« (skins), s katerimi lahko spremenimo podobo uporabniškega vmesnika Andorida in bi lahko predstavljale prenašalca zlonamerne kode.

Bluebox je o ranljivosti že obvestil Google, ki je nemudoma pripravil popravek in ga posredoval partnerjem ter skrbnikom odprtokodnega projekta Android Open Source Project. Ranljiva je velika večina obstoječih Androidnih naprav z različicami od 2.1 do 4.3. težava je v temu, da se popravek ne more samodejno potisniti na vse potencialno ranljive naprave, temveč je to odvisno od posameznega proizvajalca in uporabnikov. Pričakovati je, da bo zato ranljivost FakeID še nekaj časa prisotna v široki množici Androidnih naprav.