Tencent, düzinelerce uygulamayı klonlayabilecek bir güvenlik açığı buldu ve birçok uygulama etkilendi
9 Ocak'ta Tencent Borsası.
Öğleden sonra saat 3'te Tencent Güvenlik için bir basın toplantısı düzenlendi. Saat 2'den az bir zamanda ana konuşmacı, Tencent'in Xuanwu Laboratuvarı başkanı TK (Yu Yang) yerinde ve Chuangyu 404Team'i tanıyan patron (Zhou Jingping) da ortaya çıktı.
Toplantıdan önce, Chuangyu'nun pazarlama departmanından bir kişinin Leifeng.com.cn'ye Hei Ge'nin birkaç yıl önce bir boşluk keşfettiğini ve bunu Google'a bildirdiğini ancak Google'ın onu görmezden geldiği biliniyordu.
Lei Feng, Zerker kanalında "Hiç cevap yok mu?" Diye sordu.
"Evet, Google'ın sorumluluğu olmayabileceğini düşündüğü anlamına geliyor gibi görünüyor." Dedi.
Saat 15: 25'te, başlangıçta başlaması planlanan basın toplantısı henüz başlamadı.
Aynı zamanda, bilgiler Tencent'ten geldi: Tencent Xuanwu Lab, bir uygulama klonlama güvenlik açığı olan büyük bir güvenlik açığı bildirdi.Tencent ayrıca bu güvenlik açığından yararlanma yöntemi önerdi.
Bu aynı zamanda bu boşluğun Android sistemini etkileyen çeşitli uygulamalar olması gerektiğine dair bir bilgi de ortaya çıkardı, aksi takdirde Sanayi ve Bilgi Teknolojileri Bakanlığı liderleri platforma gelmeyecek.
3:30 civarında basın toplantısı başladı ve gerilim duyuruldu.
Cep telefonunuzdaki bir web sitesi bağlantısını tıkladığınızda, Alipay'in kırmızı zarf kapladığı normal bir sayfa görebilirsiniz, ancak kabus bağlantıya tıkladığınızda başlar - şu anda tüm Alipay bilgileriniz saldırganın makinesinde görüntülenebilir. Alipay'inizi tüketim için kullanabilirsiniz.
Sen hiçbir şey bilmiyorsun.
Bu, kötü amaçlı kod göndermek için güvenlik açıklarını kullanmanın tipik bir yoludur. TK, bir cep telefonundaki kötü niyetli bir bağlantıya tıklandığında, savunmasız uygulamanın tamamen kontrol altına alınacağını söyledi.
Bu bir "uygulama klonu" güvenlik açığı saldırısıdır.
İlginç bir şekilde, saldırıların tamamında yer alan risk noktaları aslında biliniyor. Mart 2013'te Hei Ge, blogunda bu riskten bahsetti.
TK'ye göre, çok noktalı bağlantı korkunç boşluklar yarattı Çok noktalı bağlantı, A noktasının iyi göründüğü ve B noktasının bir problemi olmadığı anlamına gelir, ancak A ve B kombinasyonu büyük bir sorun teşkil eder.
Açıkça söylemek gerekirse, bu bir sistem tasarımı problemidir.
Mobil cihazlar genellikle güvenilir bilgi işlem, güvenlik açığı azaltma ve yetki yalıtımı gibi güvenlik teknolojilerini kullanır, ancak mobil teknolojinin çeşitli özellikleri, güvenliğe daha fazla yeni değişken getirir ve yeni üretim, yeni riskleri birleştirebilir.
Bu uygulama klonlama güvenlik açığı, bu tür bir güvenlik açığıdır. Şu anda, Alipay'deki bu güvenlik açığı düzeltildi.
Hei Ge, Mart 2012'de zaten bir klon saldırısı fikrini oluşturduğunu tanıttı. O sırada yeni bir cihaz satın aldı ve Weibo verilerinin başka bir cep telefonuna taşındığını ve oturum açma işleminin cep telefonunda otomatik olarak tamamlanacağını gördü. Sorunu keşfettikten sonra, tekrar test etti ve güvenlik açığının ayrıntılarını Android yetkilisine bildirdi, ancak Google e-postayı bile yanıtlamadı.
Heige, blogunda öfkeyle paylaşımda bulundu, ancak Google hala güvenlik açığını tamamen düzeltmedi.
Basın toplantısında TK, hesapları klonlamanın ve kullanıcı fotoğraflarını çalmanın etkisini fark eden bir demo videosu yayınladı.
Şu anda, Tencent tarafından yapılan araştırmaya göre, piyasadaki 200'den fazla Android uygulamasından 27 uygulama bu güvenlik açığına sahip. Güvenlik açıklarının listesi ve etkileri aşağıdaki gibidir; bunlardan 18'i uzaktan saldırıya uğrayabilir ve 9'u yalnızca yerel olarak saldırıya uğrayabilir. 7 Aralık 2017'de Tencent, Ulusal Bilgi Güvenliği Güvenlik Açığı Paylaşım Platformu'na (cnvd) 27 güvenlik açığı bildirdi. 9 Ocak 2018 itibarıyla 11 uygulama onarıldı, ancak bunlardan 3'ünde kusur vardı.
Ulusal İnternet Acil Durum Müdahale Merkezi'nin (CNCERT) Siber Güvenlik Bölümü müdür yardımcısı Li Jia'ya göre, Alipay, Baidu Waimai, Gome vb. Güvenlik açığı hakkında şimdiden geri bildirimde bulundu. Dün itibariyle, JD Daojia ve Hupu dahil on satıcıdan herhangi bir geri bildirim alınmadı .
Aşağıda, Leifeng.com tarafından hafifçe silinmiş ve düzenlenmiş olan TK ve Hei Ge röportaj kayıtları yer almaktadır.
1. Bu güvenlik açıkları ne zaman keşfedildi?
TK: Bugün gördüğümüz şey, etkilenen bir dizi uygulama. Aslında, tüm keşif tek seferlik bir süreç değil, sürekli bir süreç. İlk keşif geçen yılın sonundaydı.
2. Üretici bunu nasıl düzeltiyor?
TK: Güvenlik açığını bizzat keşfettik, keşfettikten sonra ilgili ulusal makamlara zamanında haber verdik ve ardından bunları düzeltmeleri için uygulama satıcılarını bilgilendirdik.
3. Alipay'e karşı gerçek saldırı vakaları var mı?
TK: Hayır, en azından bilinen vakamız yok. Bu şekilde bir saldırı başlatmak mümkün olsa da, gerçekten kimsenin böyle bir saldırı başlatıp başlatmadığını bilmiyoruz.
4. Sıradan kullanıcılar önlem alabilir mi?
Hei Ge: Sıradan kullanıcıların önlediği sorun hala oldukça baş ağrısı. Şu andaki video gösterimi sadece bir sahne. İlk videoda, saldırgan tıklamanızı isteyen bir metin mesajı gönderiyor. Ayrıca iki boyutlu bir görüntüyü tarayabileceğiniz bir sahne var. Kod ayrıca sizi bir web sayfasını ziyaret etmeye ikna eder. Aslında, bazı sıradan kullanıcılar için, her şeyden önce, başkalarının size gönderdiği QR kodunu taramayın. En önemli nokta, işletim sistemleri ve uygulamaların resmi yükseltmeleri de dahil olmak üzere resmi yükseltmelere dikkat etmektir.
TK: Bir kullanıcı bugün telefonunuzu açarsa ve onarılan bu uygulamaları en son sürüme yükseltirse, artık bu güvenlik açıklarından etkilenmeyecektir.
5. Çok noktalı bağlantı burada ne anlama geliyor?
TK: Çok noktalı eşleşme bir boşluk değil, bir düşünme biçimidir. Örneğin, bir kişiyi izlemek isteyebilirsiniz, ancak bu kişiyi takip ederseniz, bilgilerinin yalnızca bir yönünü kavramanız daha zor olabilir.Yalnızca ayakkabılarının markasını ve boyutunu anlarsanız, bir kişiyi tam olarak belirleyemeyebilirsiniz. . Bir kişinin tüm yönleri bir araya getirilirse, kapsamlı ve doğru bir yargı oluşturulabilir, ancak genel yargı bir dizi ayrıntıyla oluşturulur.
Bugün gördüğünüz gösteride, kontrol uygulamamızın sonunda herkesin gördüğü etki klonlandı. Klonlamayı gerçekleştirmek için bu boşluk deliğini kullanmak için, bu boşluk, çoklu bağlantı noktalarının oluşturduğu bir boşluktur.Klonlama ile birleştiğinde, tüm bağlantı zincirinde bir bağlantı haline geldi, dişlilerden biri haline geldi ve sonunda böyle bir şeylere ulaştı. .
6. Google'a ilk kez gönderdiniz. Bu, Android'in resmi sürümüyle düzeltmenin gerçekten mümkün olduğu anlamına mı geliyor?
Hei Ge: Savunmasızlık hücumunda ve savunma araştırmalarında ilk yaptığımız şey hücumdur.Kişiler için saldırı yöntemini keşfettiğimizde daha çok hücum düşünürüz, bu sorunu kimin çözmesi gerektiğine gelince, en azından o zamanlar çok düşünmemiştik. Sadece bu şey çok yaygındır, belki işletim platformu sisteminde bu tür şeyleri yapabilen buna karşılık gelen bir savunma mekanizması vardır. Ancak bu tür bir tasarım, ister kusur ister bireysellik olsun, tasarım probleminin işletim seviyesinde sistematik olarak çözülmesi gerekiyorsa, bunlar (Editörün Notu: Google'a atıfta bulunur) da çok baş ağrıtıcıdır.
Bu sorunu çözseniz bile, yapıda sürekli değişiklik gerektiren başka sorunlar olabilir. Güvenlik sorunu çözülse bile, kullanıcının performansında bazı sorunlara neden olur mu? Örneğin, bu iki gündeki CPU güvenlik açıkları. Birçok kişi hala işletim sistemi güvenlik açıklarını düzelttiğinde, kullanıcının CPU kullanımını azaltacağını düşünüyor. Performansı düşürecek, bu kadar çok kişi bu güvenlik açığına yönelik yamanın uygulanıp uygulanmayacağını düşünecek mi? Çoğu sorunun net bir cevabı yoktur.
Android üreticilerinin daha olumlu olabileceği şey, bunun gerçekten büyük bir sorun olduğunu ve yaygın olduğunu kabul etmeleridir. Daha iyi bir iş yapan bir üreticinin bir hatırlatmaya gelmesi veya Android üreticisinin diğer kullanıcılar tarafından kullanılan işlevleri ve performansı etkilemeden düzeltilmesi gerektiğine inanması mümkündür.Üretici bunu düzeltebilir, ancak büyük platform tam olarak değil daha fazla sorunu dikkate alır. Güvenlik sorunları.
