0

مشکل آسیب پذیری اطلاعات در اندروید و نحوه مقابله با آن

 
mahdihakimi
mahdihakimi
کاربر نقره ای
تاریخ عضویت : خرداد 1389 
تعداد پست ها : 1430
محل سکونت : خراسان رضوی

مشکل آسیب پذیری اطلاعات در اندروید و نحوه مقابله با آن


Android Vulerable image

طبق تحقیقات انجام شده در دانشگاه Ulm آلمان، تمامی تلفن هایی که با اندروید نسخه ۲.۳.۳ یا پایین تر کار می کنند، در مقابل حملات مرتبط با پروتکل ClientLogin برای تایید هویت (ClientLogin authentication protocol) کاملا آسیب پذیرند.
هرگاه که کاربر اندروید در سایت هایی مانند تویتر، فیس بوک یا گوگل لاگین می کند، authToken یا اطلاعات تایید هویت وی تا ۱۴ روز در گوشی نگهداری می شوند و اگر شیوه دست یابی به آنها را بدانید، به راحتی می توانید از آنها سوء استفاده کنید. طبق نظر محققان این دانشگاه برای یک هکر نسبتا خبره، تنها دست یابی به شبکه وایرلس ناامنی که شما برای اتصال به اینترنت استفاده می کنید، کافی است.

این تیم تحقیقاتی یک حمله مصنوعی ترتیب داد و دید که «انجام این کار کاملا ساده است!» نتیجه این بود که ۹۹ درصد از تلفن های اندروید موجود در مقابل چنین خطری آسیب پذیرند. البته موبایل هایی که از اندروید ۲.۳.۴ بهره می برند، چنین مشکلی ندارند، زیرا گوگل وصله امنیتی ویژه این مشکل را بر روی نسخه ۲.۳.۴ ارائه کرده است.

چگونه از خودمان در برابر این آسیب محافظت کنیم؟
این آسیب برنامه هایی را تحت تاثیر قرار می دهد که از پروتکل تایید هویتی به نام ClientLogin استفاده می کنند. این پروتکل در اندروید ۲.۳.۳ و نسخه های قبل از آن مورد استفاده قرار گرفته است. البته این پروتکل قرار بود امنیت را استحکام بخشیده و کارایی برنامه ها را افزایش دهد. زیرا در این حالت سرورهای گوگل تنها یک بار نیاز به تایید و هویت سنجی اطلاعات ورود شما داشتند و نام کاربری و رمزعبور تنها یک بار ارسال می شد و پس از آن برنامه از مجوز ذخیره شده داخلی استفاده می کرد.

به هر حال، به جز اینکه دستگاه شما جزو ۱ درصد گوشی مجهز به اندروید ۲.۳.۴ باشد، گواهی اعتبار گوگل کلندر، تویتر، فیس بوک و دیگر اکانت هایی که در اندرویدتان ثبت کرده اید، کاملا خوانا و در دسترس است. اگر شما بدون دقت و توجه به امنیت، به یک شبکه اینترنت بیسیم بدون رمزنگاری متصل شوید، این اکانت های تان در اختیار مهاجم زرنگی خواهند بود که کنترل این شبکه بیسیم را در دست دارد.

بعضی اوقات شاید حتی نیازی به استفاده شما از یک شبکه بیسیم ناامن نباشد. هکر گرامی یک شبکه بیسیم رایگان تحت کنترل راه اندازی می کند و منتظر شکار می ماند. تنها کافی است وای فای گوشی اندرویدی شما روشن باشد و به صورت خودکار برای اتصال به این شبکه تلاش کند. مهاجم خبیث ما با این ارتباط تمام مجوزهای تایید هویت اکانت های تان را از روی موبایل تان خواهد دزدید.

اولین و شاید بهترین راه حل این است که اتصال اتوماتیک وای فای گوشی را خاموش کنید و در مکان های عمومی و نامطمئن فقط از اینترنت سیم کارت تان برای انجام کارها استفاده کنید. حتی شاید بهتر باشد که در مواقع عدم نیاز، کلا وای فای گوشی خاموش باشد. اگر هم به اجبار باید از اینترنت وای فای عمومی استفاده کنید (مانند وقتی که تبلت تان فقط وای فای دارد و امکان اتصال 3G را ندارید) بهتر است که حتما از برنامه هایی مانند ‏ SSH Tunnel.استفاده کنید، که ارتباط امن و رمزنگاری شده ای را بین دستگاه شما و سرور مهیا می کنند. همچنین سعی کنید اتصال تان به یک شبکه بیسیم به صورت دستی باشد و این کار را تنها پس از تایید هویت و شناخت این شبکه از نظر امنیت، انجام دهید.

البته موثرترین روش ارتقاء سیستم عامل گوشی به اندروید ۲.۳.۴ است، اما تا آن زمان در کنار روش های بالا، اگر تنها از سایت هایی که با پروتکل HTTPS کار می کنند، استفاده کنید، تا حد زیادی ریسک شکار شدن توسط مهاجمان را کاهش داده اید.

دوشنبه 2 خرداد 1390  10:19 PM
تشکرات از این پست
دسترسی سریع به انجمن ها