Хабр Курсы для всех
РЕКЛАМА
Практикум, Хекслет, SkyPro, авторские курсы — собрали всех и попросили скидки. Осталось выбрать!
Хабр доступен 24/7 благодаря поддержке друзей
Комментарии 53
Собираются, конечно.
Адриан Ашер, начальник отдела информационной безопасности Skype: «Нам подсказали, что при установке стороннего вредоносного приложения на своё Android устройство, оно может получить доступ к локально хранящимся данным приложения Skype для Android.
Эти файлы включают кэш информации о профиле и истории сообщений. Мы относимся к вашей конфиденциальности очень серьезно, и усиленно работаем, чтобы защитить вас от этой уязвимости, в том числе в ограничении прав доступа к локальным файлам Skype для Android.
Для защиты вашей личной информации, мы советуем вам быть более избирательными в том, какие приложения вы скачиваете и устанавливаете на свои устройства.»
Осмелюсь предположить, что в любой системе любое приложение хранит свои данные в определённом месте (Documents and Settings, ~/.appname и т.п.). И ничто не мешает «левому» приложению их прочитать. Но не шифровать же всё подряд, это может быть неудобно пользователю.
Хотя в данном конкретном случае, возможно, имело бы смысл пользовательские данные не хранить, а получать из сети при каждом запуске приложения.
Кстати, интересно, как и какие данные на компьютере хранит обычный, PC-шный Skype…
Хотя в данном конкретном случае, возможно, имело бы смысл пользовательские данные не хранить, а получать из сети при каждом запуске приложения.
Кстати, интересно, как и какие данные на компьютере хранит обычный, PC-шный Skype…
На PC в main.db лежит такая же инфа в открытом виде. Не вижу в этом проблемы. Если не хотите чтоб ваши данные утекли — не оставляйте их. Никто ведь не заставляет.
Скайп, например, известен тем, что передает данные в зашифрованном виде. Такая «реклама» вводит народ в уверенность, что никто не прочтет их личную переписку.
Какой блин смысл так сильно шифровать данные снаружи, при этом абсолютно никак не защитив их внутри? В реалиях жизни, где даже на АЭС проникают трояны это неправильно.
Какой блин смысл так сильно шифровать данные снаружи, при этом абсолютно никак не защитив их внутри? В реалиях жизни, где даже на АЭС проникают трояны это неправильно.
Вообще на андроиде, при условии что телефон не рутованный — проблемы нету т.к зайти в /data/data может только рут, или-же приложение в свою папку.
Вообще, в Windows и WP7 для таких целей есть специальный Isolated Storage, с которым может работать только приложение, его создавшее. Соответственно, данные в нем шифровать не обязательно. Удивлен, что в Android нет подобного решения (или просто разработчики Skype о нем не знают?).
Ну, вы, блин, даете! То вам Platform Security в Symbian слишком жесткий (доступа к контактам нужен капабилити, подпись и разрешение юзера), теперь же недовольны, что такаго нет. А если посмотреть на концепцию хранения контактов, которую развивают с огладкой на OMA и 3GPP, так вообще логи и контакты в одном централизованном месте хранятся на телефоне. Так уже реализовано в Maemo / MeeGo. И что? Очень даже удобно. Так что я согласен, что ничего такого в хранении контактов в открытом виде нет, это не пароли. Хватит уже параноить!
Речь не только про список контактов, но также и про текст сообщений.
Все-таки замечательные у нас тут комментеры. Минусуют без размышлений. Особенно карму.
А давайте хоть немного задумаемся, о чем я написал и почему?
Те, у кого уже появился экспириенс на N900 меня поймут. Агрегация контактов и журналов — это жудко удобно: достаешь телефон, окрываешь карточку контакта и видишь — ага, сейчас он в онлайне в Скайпе, можно ему не звонить GSM-мом, а написать сообщение.
Концепция, которая продвигается OMA несколько другая, но в ту же кассу: они предложили presence как свойство мобильной сети: ставишь у себя на телефоне статус — «не беспокоить» и человек, который захочет вам позвонить сначала увидит в телефонной книжке статус. Это вас лешит тупых вопросов типа: «ты спишь?» или «тебе удобно сейчас говорить?».
В целом получается такой тренд на конвергенцию адрес-буков, присутствия и журналов. Ну, естественно, во вред мега-параноикам.
А давайте хоть немного задумаемся, о чем я написал и почему?
Те, у кого уже появился экспириенс на N900 меня поймут. Агрегация контактов и журналов — это жудко удобно: достаешь телефон, окрываешь карточку контакта и видишь — ага, сейчас он в онлайне в Скайпе, можно ему не звонить GSM-мом, а написать сообщение.
Концепция, которая продвигается OMA несколько другая, но в ту же кассу: они предложили presence как свойство мобильной сети: ставишь у себя на телефоне статус — «не беспокоить» и человек, который захочет вам позвонить сначала увидит в телефонной книжке статус. Это вас лешит тупых вопросов типа: «ты спишь?» или «тебе удобно сейчас говорить?».
В целом получается такой тренд на конвергенцию адрес-буков, присутствия и журналов. Ну, естественно, во вред мега-параноикам.
tsya.ru
А на компьютере любое приложение может найти ваши фотки или куки браузера и куда-нибудь их слить. Это чья уязвимость? Очевидно, что такое решается только одним способом — ограничением какому приложению какие файлы доступны. То есть системы типа selinux.
SELinux — это лишнее, тут и POSIX permission model хватает. В андроиде это реализовано через выдачу каждому приложению своего UID'а. Соотв. если приложение не разрешило читать свои данные другим программам, то их никто и не прочитает; если приложение по дурости раздаёт права на чтение и запись на свои файлы всем подряд, то это уязвимость, согласно данной модели.
Т.к. у скайпа директория доступна на запись всему миру, то, я подозреваю, это нечто бОльшее, нежели кража данных (минимум DoS, максимум — privilege escalation).
Т.к. у скайпа директория доступна на запись всему миру, то, я подозреваю, это нечто бОльшее, нежели кража данных (минимум DoS, максимум — privilege escalation).
ну какой selinux… тут права на файлы стоят 666.
слушайте, ну ведь это же смешно! =) эта «уязвимость» существует ТОЛЬКО на рутованых девайсах, а те кто рутают девайсы — они сами знают на что идут. Дотсуп к базе скайпа на нерутаных девайсах невозможен, только если скайп сам не предоставил ContentProvider, а он не предоставил. Никто ж никого не заставляет получать рута… Так что уязвимости никакой нет, это как всегда ребята хотят трафик на ресурсе поднять и на рекламе заработать.
нужно же журналистам на что то жить :)
Даже прямо в статье написано что файлы принадлежат app_152 и только ему.
Журналиста на мыло.
Журналиста на мыло.
а права 666 на файлы там для красоты?
Да, для красоты =). Вот если бы теже права стояли на папках что и на файла, а именно 666, тогда бы поверил. А так «Не Верю!» © Станиславский
Это все о нерутованных девайсах было.
О рутованных девайсах:
на мой взгляд, те кто под рутом всегда должны думать об (как там у классиков? =)):
#1) Respect the privacy of others.
#2) Think before you type.
#3) With great power comes great responsibility.
А вы знаете, что из под рута можно и rm -rf /?
Это будет следующая уязвимость?
Это все о нерутованных девайсах было.
О рутованных девайсах:
на мой взгляд, те кто под рутом всегда должны думать об (как там у классиков? =)):
#1) Respect the privacy of others.
#2) Think before you type.
#3) With great power comes great responsibility.
А вы знаете, что из под рута можно и rm -rf /?
Это будет следующая уязвимость?
Возмите рекурсивный листинг от корня до указанной директории и вы поймете, что ошибаетесь.
Любое приложение, убежавшее из песочницы может прочитать эти незашифорванные файлы. И заметьте, таких приложений в ванильном маркете немало.
Любое приложение, убежавшее из песочницы может прочитать эти незашифорванные файлы. И заметьте, таких приложений в ванильном маркете немало.
Уже понял, спасибо.
Читайте последний комментарий.
А что такое «приложение убежавшее из песочницы»?
Каких таких приложений? Malware?
Читайте последний комментарий.
А что такое «приложение убежавшее из песочницы»?
Каких таких приложений? Malware?
Гуглом гуглите гуглодоки на гуглокоде -)
Не нативное (ява) приложение, запущенное на андройде, запускается в песочнице (sandbox), и модет производить действия с файлами в своих (песочных, приватных) каталогах и директориях, на которые были получены пермишены (фото, музыка, прочее).
Существуют техники обхода песочницы и работы с файлами за приделами описанными в предидущем абзаце. Однако, работа с такими файлами производится от «пользователя» текущего приложения (не только, но углубляться не буду), а это значит, что могут быть прочитаны все файлы, на которые установлен публичный бит чтения, записаны все файлы, на которых установлен публичный бит записи и выполнены…
В этом случае права 660 спасают. А так как пользователь равен группе — хватит и 600.
Для того, чтобы не зверствовать — можно выставить 640 на файлы, и 644 на каталог, чисто для интересующихся. Тут я скромно умолчу про шифрование критичных для пользователя данных, потому как, если да, то и доступ ограничивать можно ненадо. Но лучше конечно и то и другое.
Что такое малварь в андройде — вопрос непростой. Теоритически да, выход из песочницы — это зло, но андройдова малварь отлично чувствует себя и в песочнице, поэтому, можно сказать, что это только один из видов малвари.
Не нативное (ява) приложение, запущенное на андройде, запускается в песочнице (sandbox), и модет производить действия с файлами в своих (песочных, приватных) каталогах и директориях, на которые были получены пермишены (фото, музыка, прочее).
Существуют техники обхода песочницы и работы с файлами за приделами описанными в предидущем абзаце. Однако, работа с такими файлами производится от «пользователя» текущего приложения (не только, но углубляться не буду), а это значит, что могут быть прочитаны все файлы, на которые установлен публичный бит чтения, записаны все файлы, на которых установлен публичный бит записи и выполнены…
В этом случае права 660 спасают. А так как пользователь равен группе — хватит и 600.
Для того, чтобы не зверствовать — можно выставить 640 на файлы, и 644 на каталог, чисто для интересующихся. Тут я скромно умолчу про шифрование критичных для пользователя данных, потому как, если да, то и доступ ограничивать можно ненадо. Но лучше конечно и то и другое.
Что такое малварь в андройде — вопрос непростой. Теоритически да, выход из песочницы — это зло, но андройдова малварь отлично чувствует себя и в песочнице, поэтому, можно сказать, что это только один из видов малвари.
Через adb на нерутованном девайсе можно прочитать содержимое, как минимум, файла shared.xml. Главное знать, где что лежит. Предыдущий комментатор прав, там 0666 на доступ к файлам не просто так стоит.
а как был получен доступ к /data/data/* по умолчанию он закрыт и доступ к com.skype.merlin_mecha имеет только com.skype.merlin_mecha
Андроид чётко разграничивает доступ к данным приложения. Сторонние приложения не могут получить доступ к чужим файлам — хоть скайпа, хоть чего угодно.
Пруфлинк:
developer.android.com/guide/topics/data/data-storage.html#filesInternal
By default, files saved to the internal storage are private to your application and other applications cannot access them (nor can the user).
Так что эта «уязвимось» проявляется только на «рутованных» телефонах. А это значит, пользователь сам себе злой Буратино.
Пруфлинк:
developer.android.com/guide/topics/data/data-storage.html#filesInternal
By default, files saved to the internal storage are private to your application and other applications cannot access them (nor can the user).
Так что эта «уязвимось» проявляется только на «рутованных» телефонах. А это значит, пользователь сам себе злой Буратино.
Да я тоже не понимаю в чём сыр-бор.
developer.android.com/guide/topics/security/security.html
По умолчанию при установке андройд приложения ему выделяется отдельный uid. Если права доступа -rw-------, то кроме супер-юзера никто и доступа к файлам приложения не получит.
Какая-то надуманная уязвимость.
developer.android.com/guide/topics/security/security.html
По умолчанию при установке андройд приложения ему выделяется отдельный uid. Если права доступа -rw-------, то кроме супер-юзера никто и доступа к файлам приложения не получит.
Какая-то надуманная уязвимость.
К тому же не просто на рутованных телефонах, но и только после разрешение повышения привилегий (выскакивает окно с подробным описанием процесса и кнопками разрешить/запретить). Так что в чём уязвимость, мне не ясно. Телефонная книга тоже хранится в определённой папочке там же (/data/data/com.android.providers.telephony), и её так же можно читать.
Вообще о доступе к sqlite/preferences в Android давно известно, и в интернете куча тем как защитить содержимое данных способов хранения данных. Также вроде как доступ получить к подобного рода файлам можно только из телефона который «рутованый»
Исправьте пожалуйста заголовок на «Уязвимость в Skype на рутованных Android»
Решето на решете.
Да, кстати, у меня на android 2.1 стоит официальный скайп и там нет никакого com.skype.merlin_mecha… он идет как com.skype.raider. Ну и конечно же, на нерутованом девайсе никакого доступа к БД контактов и настройкам нет.
Где можно скачать эту «уязвимую» версию? =)
Где можно скачать эту «уязвимую» версию? =)
Эмпирически было установлено то, что стороннее приложение может получить все данные из вышеперечисленных файлов.
Угроза существует для всех устройств!
Извиняюсь за свой скепсис перед всеми и перед автором поста.
Угроза существует для всех устройств!
Извиняюсь за свой скепсис перед всеми и перед автором поста.
решето
Зарегистрируйтесь на Хабре, чтобы оставить комментарий
Уязвимость в Skype for Android