सुरक्षा सप्ताह 09: Android सुरक्षा के लिए कौन जिम्मेदार है?

पिछले हफ्ते ही कुछ ख़बरों ने एंड्रॉइड प्लेटफॉर्म की सुरक्षा को चिंतित कर दिया था। सबसे बड़ी दिलचस्पी Google प्रोजेक्ट ज़ीरो टीम द्वारा आयोजित सैमसंग स्मार्टफ़ोन सुरक्षा अध्ययन है । सैमसंग गैलेक्सी ए 50 मॉडल में (और संभवतः दूसरों में भी, लेकिन यह सत्यापित नहीं किया गया है), निर्माता ने लिनक्स कर्नेल में अपना कोड एकीकृत किया, जो प्रक्रिया प्रमाणीकरण के लिए जिम्मेदार है। प्रक्रिया प्रमाणक प्रणाली को स्मार्टफोन की सुरक्षा बढ़ाने के लिए डिज़ाइन किया गया है: अनुप्रयोगों और सिस्टम सेवाओं को शुरू करते समय, यह डिजिटल हस्ताक्षर की पुष्टि करता है।

अपेक्षाकृत कम संख्या में प्रक्रियाओं की जाँच की जाती है। अद्वितीय हस्ताक्षर प्रारूप के अनुसार, शोधकर्ता को केवल 13 टुकड़े मिले, उनमें से - ब्लूटूथ और वाई-फाई के साथ काम करने की सेवाएं। Google के एक विशेषज्ञ ने एक परिदृश्य बनाया जिसमें प्रोसेस ऑथेंटिकेटर सिस्टम को एक दुर्भावनापूर्ण एप्लिकेशन को "चेक" करने के लिए कहा जाता है, और सैमसंग कोड में कई कमजोरियां विस्तारित अधिकारों के लिए अनुमति देती हैं। फोन पर अधिकृत खातों के डेटाबेस से डेटा पढ़ने का एक उदाहरण दिया गया है। इस से निष्कर्ष निम्न है: प्रदाता से कर्नेल को संशोधित करना (अर्थात, Google से) हमेशा एक अच्छा विचार नहीं है। और यहां एक पूरी तरह से तकनीकी लेख राजनीति के विमान में जाता है और एंड्रॉइड पारिस्थितिकी तंत्र में प्रतिभागियों के बीच बातचीत का विषय उठाता है: सॉफ्टवेयर की सुरक्षा के लिए कौन जिम्मेदार होना चाहिए, और क्या स्मार्टफोन डेवलपर्स को इस सुरक्षा के लिए कोड संशोधनों को प्रतिबंधित करना चाहिए?

कम से कम मीडिया ने इस अध्ययन को Google के विनम्र अनुरोध के रूप में कोड के साथ हस्तक्षेप नहीं करने के लिए व्याख्या की । अध्ययन में, इसे निम्नानुसार तैयार किया गया है: यहां तक ​​कि मूल को भी न छूएं। आदर्श रूप से, डिवाइस ड्राइवर लिखते समय सुरक्षित कर्नेल इंटरैक्शन तकनीकों का उपयोग करें। यह एंड्रॉइड डेवलपर के साथ किसी विशेष विक्रेता के काम करने के लिए अपूर्णता का एक और उदाहरण भी देता है। सितंबर 2018 में, लिनक्स कर्नेल में एक बग की खोज की गई थी और इसे बहुत जल्द ही ठीक किया गया था, लेकिन पैच नवंबर 2019 से सुरक्षा अपडेट के साथ एक विशिष्ट सैमसंग फोन तक नहीं पहुंचा (यह केवल इस साल फरवरी के अपडेट के साथ तय किया गया था)। अर्थात्, सैमसंग के पास जानकारी थी, एक पैच उपलब्ध था, लेकिन किसी कारण से (संभवतः निर्माता के अपने कोड के साथ एक पैच संघर्ष) इसका उपयोग नहीं किया गया था।

यह दिलचस्प अध्ययन विस्तार से दिखाता है कि एंड्रॉइड प्लेटफ़ॉर्म का विखंडन कैसे काम करता है और यह सीधे सुरक्षा को कैसे प्रभावित करता है (अपडेट देर से पहुंचता है) और अप्रत्यक्ष रूप से (कस्टम कोड जोड़ा जाता है, जो अपने आप में असुरक्षित हो सकता है)। फिर भी, इस समस्या का समाधान, साथ ही साथ इसकी गंभीरता का आकलन, अब तकनीकी चर्चा नहीं है, बल्कि सभी पक्षों के हितों का अवलोकन करने का विषय है।

एंड्रॉइड इकोसिस्टम का पारंपरिक मुद्दा आधिकारिक प्ले स्टोर में प्रवेश करने वाले दुर्भावनापूर्ण एप्लिकेशन हैं। चेक प्वाइंट रिसर्च ने हाल ही में एक नए तरह के दुर्भावनापूर्ण कोड के साथ रिपोजिटरी के नौ आवेदन पाए, जिन्हें हॉक कहा जाता है। यह आपको उपयोगकर्ताओं की जासूसी करने और उन्हें भुगतान की गई सेवाओं की सदस्यता देता है। जनवरी में निकाला गया गूगलदुर्भावनापूर्ण जोकर प्लेटफॉर्म का उपयोग करके प्ले स्टोर 17 हजार अनुप्रयोगों से: कोड अच्छी तरह से छिपा हुआ था, और कार्यक्रमों ने प्रकाशन से पहले परीक्षण सफलतापूर्वक पारित कर दिया। पिछले हफ्ते, Google ने कष्टप्रद विज्ञापनों के लिए 600 से अधिक ऐप्स निकाले ।

और क्या हुआ: WordPress के लिए प्लगइन में
एक और महत्वपूर्ण भेद्यता । बैकअप और साइट ट्रांसफर के लिए डुप्लीकेट एडऑन का उपयोग बिना प्राधिकरण के सर्वर से मनमानी फ़ाइल डाउनलोड के लिए किया जा सकता है, उदाहरण के लिए, उपयोगकर्ता लॉगिन और पासवर्ड का डेटाबेस।

Adobe जारी कियाएक असाधारण अद्यतन जो आफ्टर इफेक्ट्स में दो महत्वपूर्ण कमजोरियों को शामिल करता है। आपातकालीन अद्यतन के लिए एक अप्रत्याशित लक्ष्य, लेकिन कमजोरियां गंभीर हैं - इस कार्यक्रम के लिए तैयार फ़ाइल का उपयोग करके, आप मनमाने कोड को निष्पादित कर सकते हैं।

ताजा डेटा लीक : एमजीएम रिसॉर्ट्स ग्राहक डेटाबेस एक हैकर फोरम पर सामने आया है। 10 मिलियन से अधिक प्रविष्टियों में एमजीएम ग्रैंड लास वेगास कैसीनो आगंतुकों के लिए आगंतुक जानकारी शामिल है। व्यक्तिगत जानकारी, संपर्क जानकारी, लेकिन भुगतान डेटा नहीं, सार्वजनिक रूप से उपलब्ध हो गया। पीड़ितों में, उम्मीद के मुताबिक, कई हस्तियां।

दिलचस्प अध्ययनविंडोज-आधारित चिकित्सा प्रौद्योगिकी में ब्लूकीप भेद्यता के बारे में। रिमोट डेस्कटॉप प्रोटोकॉल में यह बग एक साल पहले बंद हो गया था, लेकिन साइबरएमएक्सएक्स के अनुसार, ओएस के संस्करणों पर विंडोज के लिए आधे से अधिक चिकित्सा उपकरण काम करते हैं जो अपडेट नहीं होते हैं।

अमेज़ॅन रिंग ने वेबकैम उपयोगकर्ताओं के लिए दो-कारक प्रमाणीकरण पेश किया है । इनोवेशन कमजोर (या पुन: प्रयोज्य) उपयोगकर्ता पासवर्डों पर बड़ी संख्या में हमलों के साथ जुड़ा हुआ है, जिसके परिणामस्वरूप पटाखे वीडियो डेटा तक पहुंच प्राप्त करते हैं और पीड़ितों के साथ सीधे भी जा सकते हैं। दिसंबर में, पारंपरिक मीडिया में कई ऐसे हैक भी लिखे गए थे ।

एक्लिप्स रिसर्च वेरिफिकेशन उठाती हैविभिन्न उपकरणों के लिए फ़र्मवेयर अपडेट, उदाहरण के लिए, टचपैड, लेनोवो, एचपी और डेल लैपटॉप के लिए वाई-फाई मॉड्यूल। एक डिजिटल हस्ताक्षर की कमी का सैद्धांतिक रूप से मतलब है कि आप उपयोगकर्ता के ज्ञान के बिना इस तरह के मॉड्यूल को फ्लैश कर सकते हैं, मानक अपडेट डिलीवरी सिस्टम को दरकिनार कर सकते हैं, और साथ ही कोड में दुर्भावनापूर्ण कार्य जोड़ सकते हैं।