פגם ב- Android מאפשר להאקרים לגנוב את נתוני טביעות האצבע שלנו
חברת מחקר אבטחה חשפה פגם באנדרואיד המאפשר להאקרים לגנוב עותקים של טביעות האצבע שלנו מה- Galaxy S5, ואולי מכשירים אחרים. סמסונג אומרת שהיא כבר חוקרת את הנושא, שיודגם בכנס האבטחה של RSA השבוע.
יולונג ג'אנג וטאו ווי מ- FireEye גילו דרך לאחזר נתוני זיהוי מ"אזור מהימן "בו הם מאוחסנים ומאובטחים ב- Galaxy S5 בשנה שעברה. השיטה שלהם מבטיחה לעבוד על כל המכשירים שבהם פועל Android 5.0 Lollipop ומטה.
הדבר החשוב ביותר הוא שתוקפים לא צריכים לפרוץ לאותו אזור מהימן כדי לאסוף נתוני טביעות אצבע; הם פשוט צריכים ליירט אותו כפי שהוא נשלח מסורק טביעות האצבע. ניתן לעשות זאת באמצעות יישום זדוני המותקן במכשיר בעל גישה לשורש.
“אם התוקף יכול לשבור את הגרעין [הליבה של מערכת ההפעלה אנדרואיד], למרות שהוא לא יכול לגשת ל- נתוני טביעות האצבע המאוחסנים באזור מהימן, הוא יכול לקרוא ישירות את חיישן טביעות האצבע בכל עת ", ג'אנג סיפר פורבס.
"בכל פעם שאתה נוגע בחיישן טביעות האצבע, התוקף יכול לגנוב את טביעת האצבע שלך", אמר ג'אנג פורבס. "אתה יכול לקבל את הנתונים ומהנתונים אתה יכול ליצור את התמונה של טביעת האצבע שלך. אחרי זה אתה יכול לעשות מה שאתה רוצה. "
FireEye כבר הייתה בקשר עם סמסונג בנוגע לנושא, והחברה הדרום קוריאנית אומרת כי היא חוקרת ומתייחסת ברצינות רבה לאבטחה.
אך סמסונג לא תהיה החברה היחידה המושפעת מכך אם מדובר בבעיית אנדרואיד רחבה יותר. יצרנים כמו HTC, Huawei ומוטורולה פרסמו את כל המכשירים עם סורקי טביעות אצבע מובנים שנחשבים לפגיעים לא פחות.
כל עוד האקרים לא יכולים לקבל גישה לאזור המהימן, עם זאת, נתוני טביעת האצבע שלך צריכים להיות בטוחים אם אינך משורש את המכשיר; ללא גישה לשורש, אפליקציות זדוניות פוטנציאליות אינן יכולות לגשת לנתונים מסורק טביעות האצבע.
אם אתה עושה שורש, רק הקפד להתקין אפליקציות רק ממקורות מהימנים.
FireEye תציג את ממצאיו מחר, 24 באפריל, בכנס האבטחה של RSA בסן פרנסיסקו.
