Ekosistem Android se je včeraj pretresel z razkritjem, da lahko preproste povezave - nekaj, kar lahko zgolj odprete v spletu - sprožijo popolno brisanje nekaterih naprav Android. Raziskovalec Ravi Borgaonkar je razkril podvig in (seveda) naprava, ki je dobila vso pozornost, je bil najbolje prodajani Samsung Galaxy S III. Samsung je že izdal popravek za ranljivost. Izkazalo pa se je, da je veliko drugih telefonov Android očitno ranljivih za enako uporabo. Koren težave je v običajnem klicalniku Android; čeprav je Google težavo odpravil že pred meseci, ta popravek morda ni prišel do trenutnih naprav Android in je mnogi ne bodo nikoli prejeli.
Obstaja razlog za zaskrbljenost, ne pa tudi popolna panika. Tukaj je opis, kako deluje exploit, in nekaj nasvetov, kako se lahko uporabniki Androida zaščitijo.
Kaj je USSD?
Nova različica Androida temelji na protokolu, vgrajenem v večino telefonov, imenovanem USSD ali nestrukturirani dodatni servisni podatki. Zamislite si USSD podobno kot protokol za pošiljanje besedilnih sporočil, vendar namesto da bi ga uporabljali za prenos kratkih sporočil med uporabniki telefonov, naj bi proizvajalci naprav in mobilni operaterji omogočili, da za svoje telefone in omrežje ustvarijo dodatne storitve. Tako kot besedilna sporočila so tudi sporočila USSD kratka (do 182 znakov), vendar lahko za razliko od besedilnih sporočil dejansko odprejo dvosmerno omrežno povezavo med napravo in končno točko omrežja, zato so bolj odzivna kot sporočila SMS in so lahko za interaktivne storitve v realnem času.
Ljudje, ki se zanašajo na predplačniške telefonske storitve, so verjetno uporabili USSD storitve za preverjanje preostalega predplačniškega stanja. Na primer, predplačniški uporabniki T-Mobile pokličejo#999# videti njihovo ravnovesje. To je USSD. Vendar lahko USSD podpira bolj dovršene aplikacije, kot so storitve mobilnih plačil - pravzaprav je to eden od razlogov, da so nekatere države v razvoju skupaj z mobilnimi plačili bolj kot Severna Amerika in Evropa. Druge storitve so vgradile funkcije socialnega mreženja za Twitter, Facebook in druge storitve socialnega mreženja, čeprav so te običajno vidne samo na funkcijskih telefonih na razvijajočih se trgih.
USSD se uporablja v telefonih GSM (običajni uporabniki operaterjev, kot sta AT&T in T-Mobile), vendar to počne ne pomeni, da vam ni treba, če uporabljate telefon z operaterjem CDMA, kot sta Verizon ali Sprint. Številne kode USSD sprožijo dejanja na lokalni napravi in to tudi storijo ne zahtevajo mobilnega operaterja, ki podpira USSD. Številni telefoni, zgrajeni za omrežja CDMA, se bodo odzvali na te kode.
USSD je po definiciji nestrukturiran, kar pomeni, da telefoni ne podpirajo istih naborov kod USSD. Različni proizvajalci in mobilni operaterji so večinoma sledili lastnim instinktom o tem, kako razvijajo funkcije in storitve USSD. Koda USSD, ki na telefonu Nokia počne eno stvar, lahko na telefonu LG naredi nekaj povsem drugega - ali pa nič. Vendar pa je ena najpogosteje uporabljena koda *#06#, ki pogosto prikaže enolično številko naprave IMEI (International Mobile Equipment Identity).
Tel: jaz zgodba
USSD ni nič novega in ni nova grožnja Androidu. Kar je Ravi Borgaonkar demonstriral, je bila osupljivo preprosta kombinacija USSD kod s protokolom URL-ja "tel:". Protokole URL ste videli v stvareh, kot so spletne povezave in e-poštni naslovi - to so http: in mailto:oziroma. Obstaja pa na stotine drugih protokolov URL.
The tel: protokol omogoča uporabnikom, da pokličejo telefonsko številko iz spletnega brskalnika: tel: 555-1212 bi moral na primer večino Američanov povezati z državno telefonsko pomočjo. Borgaonkarjeva demonstracija je kombinirala tel: Shema URL-jev z določeno kodo USSD, ki - uganili ste - lahko ponastavi tovarniške nastavitve nekaterih naprav Android. Borgaonkar je tovarniško ponastavitev USSD poimenoval "Samsungova tragedija", delno tudi zato, ker Samsungova izvedba ukaza za brisanje ne vključuje interakcije uporabnika. Nekatere druge naprave imajo podobne ukaze za ponastavitev na tovarniške nastavitve, vendar vsaj zahtevajo ročno potrditev uporabnika.
Teoretično bi moral napadalec vse, kar mora storiti, v spletno mesto vdelati zlonamerni URL in vse ranljive naprave, ki naložijo to stran, ponastaviti na tovarniške nastavitve. (V nekaterih primerih to vključuje tudi brisanje kartice SIM.)
Zanimivo je misliti, da gre zgolj za ranljivost z vgrajenim brskalnikom v telefonu, toda v primeru Androida gre res za privzeti klicalnik Android: Borgaonkar je predstavil tudi načine za izvedbo ponastavitve USSD z uporabo QR kod, sporočil WAP Push SMS in (v primeru Galaxy S III) celo prek NFC. V brskalnik ni treba vpletati brskalnika. Vsaka aplikacija, ki lahko na telefonu Android pokliče številko, lahko sproži ukaz USSD.
Ni konec sveta?
Ranljivost se morda zdi precej strašna, vendar Hendrik Pilz in Andreas Marx iz neodvisne nemške varnostne družbe AV-TEST ugotavljata, da ranljivost kiber kriminalcev verjetno ni zelo privlačna.
"Menimo, da večina piscev zlonamerne programske opreme morda ne bi bila zainteresirana za izkoriščanje ranljivosti, saj ne bo smiselno brisati telefona ali blokirati uporabnikov," so sporočili v elektronski pošti. »Zlonamerna programska oprema poskuša ostati tiha v vašem sistemu, tako da lahko vašo mobilno napravo uporabljate za kakšne zlonamerne, morda kriminalne dejavnosti. To bo delovalo samo s tekočimi in delujočimi sistemi. "
Je vaš telefon ranljiv?
Do zdaj je bilo dokazano, da imajo samo izbrani Samsung telefoni kodo USSD, ki ponastavi tovarniške nastavitve. Vendar to ne pomeni telefonov drugih ponudnikov ne imajo podobne kode, ki bi jih napadalci lahko uporabili za brisanje telefonov, izgubo podatkov ali celo prijavo uporabnikov za drage storitve. To je navsezadnje najljubša zabava avtorjev zlonamerne programske opreme Android.
Na žalost ni zanesljivega načina za ugotavljanje, ali je telefon Android ranljiv za napad, ki temelji na USSD, ampak uporabniki lahko preverite, ali so njihovi klicalci ranljivi.
Za naslednje naprave je bilo potrjeno, da so ranljive za klicanje USSD kod s spletne strani:
- HTC Desire HD
- HTC Desire Z
- HTC Legenda
- HTC One W
- HTC One X
- HTC Sensation (XE) (s sistemom Android 4.0.3)
- Huawei Ideos
- Motorola Atrix 4G
- Motorola Milestone
- Motorola Razr (s sistemom Android 2.3.6)
- Samsung Galaxy Ace, Beam in S Advance
- Samsung Galaxy S2
- Samsung Galaxy S3 (s sistemom Android 4.0.4)
Še enkrat, to je res ne pomeni, da je vse te naprave mogoče izbrisati prek USSD. Do zdaj je bilo potrjeno, da jih je mogoče brisati samo z izbranimi Samsung telefoni prek ukaza USSD. Številne druge naprave lahko pokličejo ukaze USSD - in obstajajo celo poročila, da bodo nekatere naprave s sistemom Symbian in Samsungovim bada operacijskim sistemom ukazovale USSD tel: URL-ji.
Borgaonkar je ponudil preizkusno stran, ki z vstavljenim okvirjem poskuša prepričati brskalnik, da pokliče kodo USSD - v tem primeru *#06# , ki prikazuje številko IMEI naprave:
//www.isk.kth.se/~rbbo/testussd.html
Samoopisani geek Dylan Reeve je sestavil tudi hitro preizkusno stran, ki lahko razkrije, ali vaš klicalnik Android obdeluje USSD kode, pri čemer uporablja iste *#06# Koda USSD:
//dylanreeve.com/phone.php
Vendar gospod Reeve ni strokovnjak za mobilno varnost in če bi bil kdo napadalec, ki bi želel izkoristiti to ranljivost, bi vdor na katero koli od teh preizkusnih strani bil odličen način, da bi povzročil kakšen haos.
Kako se zaščititi
Če imate telefon Samsung - Samsung je že izdal posodobitev vdelane programske opreme, ki je popravila ranljivost. Glede na to, da so izbrani telefoni Samsung trenutno edine naprave, ki so dovzetne za brisanje, toplo priporočamo, da lastniki Samsunga uporabljajo posodobitev.
Posodobite Android - Zaenkrat še ni nobenih znakov, da bi naprave z Androidom 4.1 Jelly Bean dovzetne za ranljivost USSD. Če je bil Jelly Bean na voljo za vašo napravo in ste odlagali posodobitev, bi bil zdaj pravi čas. Na žalost je dostopnost Jelly Bean v podprtih napravah v veliki meri po presoji operaterjev, mobilni operaterji pa so zelo počasni pri certificiranju nove programske opreme za svoja omrežja. Veliko naprav, ranljivih za morebitne napade USSD, nikoli ne bo mogoče nadgraditi na Jelly Bean.
Uporabite alternativni klicalnik - Odprta platforma Android lahko ponudi rešitev: Namesto da se zanesejo na vgrajeni klicalnik Androida, lahko uporabniki Androida namestijo neodvisni klicalnik, ki ne dovoli prenosa ukazov USSD. Najljubši je brezplačni DialerOne, ki deluje s sistemom Android 2.0 in novejšim.
Blokiraj tel: URL-ji - Drug pristop je blokiranje obdelave tel: URL-ji. Joerg Voss ponuja brezplačni NoTelURL, ki se v bistvu predstavlja kot klicalnik: če uporabniki naletijo na tel: URL (bodisi prek brskalnika ali skeniranja kode), bodo ponujeni na izbiro klicalnikov, namesto da bi bili takoj obdelani.
Varnostno kopirajte telefon - Seveda bi bilo samoumevno, vendar redno varnostno kopirate telefon Android (in vse svoje stike, fotografije, medije in podatke), kajne? Ne glede na to, ali varnostno kopirate v lokalni računalnik, v storitev v oblaku ali uporabljate kakšno drugo shemo, je redno shranjevanje podatkov na varno lokacijo najboljša zaščita v primeru, da se telefon izbriše - da ne pozabimo, da je izgubljen ali ukraden.
