Перейти к содержанию

Обнаружена уязвимость, при которой приложения для Android посылают специальный ключ в незашифрованном виде


Рекомендуемые сообщения

Обнаружена уязвимость, при которой приложения для Android посылают специальный ключ в не зашифрованном виде.

 

Исследователи из немецкого университета, расположенном в городе Ульме, нашли уязвимость, которая может привести к перехвату пользовательских данных.

 

Данная уязвимость проявляется при использовании таких сервисов Google как Picasa, GMail, Google Calendar вкупе со специальным протоколом ClientLogin, который используют все онлайновые приложения для Android. Уязвимость возникает в момент использования этого протокола поверх HTTP-сессии, вместо HTTPS.

 

Характеризуется дыра в безопасности тем, что при работе через вышеуказанный протокол, операционная система посылает специальный токен для авторизации (authToken) с серверами Google в не зашифрованном виде. Как сообщают исследователи, этой уязвимости подвержен даже плагин для подключения к Google Calendar используемый в почтовом клиенте Mozilla Thunderbird на обычных персональных компьютерах.

 

Очень хорошо эксплуатируется уязвимость в не зашифрованных публичных Wi-Fi сетях, когда можно легко перехватить любую чужую сессию вместе с таким ключом и получить доступ к вашим данным. Разработчики компании Google извещены об этой проблеме и работают над её решением. Кроме того, Android версий 2.3.4 и 3.x уже обновлён соответствующим образом, где эта проблема закрыта. Ну, а пользователям пока что рекомендуется включать HTTPS принудительно, для аутентификации на серверах Google.

источник

Ссылка на комментарий
Поделиться на другие сайты

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
  • Похожий контент

    • KL FC Bot
      Автор KL FC Bot
      С февраля многие пользователи жалуются на то, что на их Android-смартфонах внезапно появилось приложение Android System SafetyCore. У него нет интерфейса и настроек, но из Google Play можно узнать, что разработчиком является сама Google, число установок превышает миллиард, а рейтинг составляет позорные 2,2 балла. Назначение приложения описано расплывчато: «Обеспечивает технологию для работы функций, таких как «Предупреждения о деликатном контенте» в Google Messages». Что такое «деликатный контент» (sensitive content), можно легко догадаться, но как и почему о нем будет предупреждать Google? И как собирается узнавать, что контент именно деликатный?
      Спешим успокоить — по заявлениям как Google, так и сторонних экспертов, функция не создает угроз приватности. SafetyCore работает на устройстве и не отправляет ни фотографий, ни информации о фотографиях на внешние серверы. Если в Google Messages пользователь получает сообщение с картинкой, то модель машинного обучения, запущенная прямо на смартфоне, анализирует изображение и размывает его, если детектирует нюдсы. Пользователь должен кликнуть на изображение и подтвердить, что он действительно хочет увидеть «обнаженку», и тогда размытие пропадает. Аналогичная функция работает при отправке — если пользователь пытается отправить изображение с обнаженными телами, смартфон переспросит, действительно ли нужно отсылать изображение. Google подчеркивает, что информация о результатах проверки картинки никуда не отправляется.
      Приложение SafetyCore обеспечивает анализ изображений, но оно не предназначено для самостоятельного использования: другие аппы обращаются к SafetyCore при приеме и отправке картинок, а уж как использовать результаты анализа — зависит от них. Пока воспользоваться ИИ-анализом можно в Google Messages — здесь изображения, признанные «деликатными», будут размыты. В будущем Google обещает открыть функции SafetyCore другим разработчикам, и реагировать на «клубничку» смогут, например, WhatsApp с Telegram. Другие приложения при этом могут быть настроены так, чтобы блокировать «обнаженку» или сразу отправлять такие картинки в спам.
       
      View the full article
    • KL FC Bot
      Автор KL FC Bot
      Наши защитные решения для Android временно недоступны в официальном магазине приложений Google Play. Для установки приложений «Лаборатории Касперского» на Android-устройства мы рекомендуем пользоваться альтернативными магазинами приложений. Также эти приложения можно установить вручную из APK-файлов, доступных на нашем сайте или в вашем аккаунте My Kaspersky. В этой статье мы дадим подробные инструкции, как установить Kaspersky на Android в 2025 году.
      Общие рекомендации
      Если на ваших устройствах уже установлены какие-то приложения Kaspersky из Google Play, то они продолжат работать, автоматически получая только обновления антивирусных баз, но не улучшения приложений и функций защиты. Удалив приложение, вы не сможете переустановить его из Google Play.
      Мы рекомендуем не удалять уже установленные из Google Play приложения, а установить поверх них версии из альтернативных магазинов:
      Samsung Galaxy Store  Huawei AppGallery Vivo V-Appstore RuStore Набор приложений Kaspersky во всех этих альтернативных магазинах одинаков, и способ загрузки также не отличается.
      Откройте приложение магазина. Нажмите на иконку лупы или введите в поисковой строке Kaspersky. Найдите в результатах поиска нужное приложение. Нажмите Получить, Установить, Скачать, Обновить (в зависимости от магазина) или же просто кликните на иконку загрузки рядом с названием требуемого приложения.  
      View the full article
    • KL FC Bot
      Автор KL FC Bot
      Мы обнаружили новую схему распространения трояна-банкера Mamont. Злоумышленники обещают доставить некий товар по оптовым ценам, которые могут быть интересны как малому бизнесу, так и частным покупателям, и предлагают установить Android-приложение для отслеживания посылки. По факту же вместо трекинговой утилиты жертве подсовывают троян, служащий для перехвата финансовых учетных данных, пуш-уведомлений и другой важной информации.
      Схема мошенничества
      На ряде сайтов злоумышленники якобы продают различные товары по достаточно привлекательным ценам. Для покупки жертве предлагают присоединиться к закрытому чату в мессенджере Telegram, где размещены инструкции по размещению заказа. По сути эти инструкции сводятся к тому, что жертве нужно написать личное сообщение менеджеру. Сам канал существует для большей убедительности: в нем идет общение участников, которые задают уточняющие вопросы, получают ответы, что-то комментируют. Вероятно, среди участников этого чата есть как другие жертвы схемы, так и боты, которые создают видимость активной торговли.
       
      View the full article
    • MaximLem
      Автор MaximLem
      Здравствуйте, хотел бы обратиться за помощью в связи с ситуацией с вирусами на компьютере. Честно говоря, не знаю точно после чего эти вирусы появились., находятся они в разделе "Разрешённые угрозы". Логи и скриншот прикрепил
    • Hard07
      Автор Hard07
      Не удаляется касперским, удалил уже все приложения которые могли его принести, в том числе торрент, что делать?
×
×
  • Создать...