Comments 34
В любом приложении есть уязвимость.
Удалить нафик GTalkService и не париться 8)
на работу самого маркета это никак не влияет 8)
на работу самого маркета это никак не влияет 8)
обнаружив в Android Market'е малварь, инженеры компании могут отправить сообщение REMOVE_ASSET через GTalkService
А на кой хрен тогда модераторы в маркете?
«Но мы-то знаем цену этим гарантиям (читай материал «Вскрываем SSL»). При желании SSL-соединение можно скомпрометировать, перехватить и отреверсить пакеты, передаваемые между девайсом и серверами Google.»
Прочитал статью про SSL, на которую ссылается цитируемый текст. Даже и не читая ее, известно, что все MITM атаки на SSL не прокатывают, если пользователь обращает внимание на ссылку в браузере (сам факт использования SSL) и валидность используемого сертификата. А тут и то и другое проверяется автоматически софтом. Так что интересно было бы услышать как же можно использовать MITM в данном случае.
А то возможностей управлениям моим мобильником у фирмы производителя нет — я поверю, только когда на нем будет исключительно open-source софт. Чего до сих пор, насколько я знаю, нет нигде. Даже в моей линуксовой N900. Не говоря уже про другие смартфоны.
Прочитал статью про SSL, на которую ссылается цитируемый текст. Даже и не читая ее, известно, что все MITM атаки на SSL не прокатывают, если пользователь обращает внимание на ссылку в браузере (сам факт использования SSL) и валидность используемого сертификата. А тут и то и другое проверяется автоматически софтом. Так что интересно было бы услышать как же можно использовать MITM в данном случае.
А то возможностей управлениям моим мобильником у фирмы производителя нет — я поверю, только когда на нем будет исключительно open-source софт. Чего до сих пор, насколько я знаю, нет нигде. Даже в моей линуксовой N900. Не говоря уже про другие смартфоны.
Поверить можно будет только когда будет не только софт open-source, но и железо — только тогда можно будет хоть на что-то рассчитывать, а так…
Android — опен сорс. Маркет к нему — нет. Снесите маркет и пользуйтесь опен-сорсом. Впрочем, если вы сами не изучили каждую строчку кода и не собирали сами потом, то толку от опен-сорса никакого.
Казалось бы, проблемы больше нет. Но! В теле сообщения может находиться специальный флаг, который позволяет отрубить проверку (в том числе для сохранения функциональности для удаленного удаления приложений)
Видимо это ещё необходимо для установки с веб-маркета, ведь в этом случае vending-компонент так же будет не в курсе о запросе.
Для доступа AccountManager нужны MANAGE_ACCOUNTS пермишены, так что если внимательно вчитываться в требования к каждому приложению, то подобные атаки можно потенциально детектировать, но с другой стороны — редко кто все это читает и понимает :)
С одной стороны, все разрешения написаны по-русски (в нашем случае), прочитать проблем нет.
С другой стороны, чтобы, например, игра могла включить паузу при поступлении звонка, она просит в разрешениях «Управление телефоном» или что-то подобное, поэтому набор таких разрешений в каждом приложении сильно притупляет внимание, в результате чего пользователи уже не обращают внимание на них при установк (я и сам не всегда читаю, т.к. большинство одни и те же для каждого приложения и мало чего говорят о требуемых возможностях и опасностях).
С другой стороны, чтобы, например, игра могла включить паузу при поступлении звонка, она просит в разрешениях «Управление телефоном» или что-то подобное, поэтому набор таких разрешений в каждом приложении сильно притупляет внимание, в результате чего пользователи уже не обращают внимание на них при установк (я и сам не всегда читаю, т.к. большинство одни и те же для каждого приложения и мало чего говорят о требуемых возможностях и опасностях).
Првильное разрешение для получения токенов USE_CREDENTIALS
Убивает то, что всякие шариковые «триврядки» требуют ПОЛНЫЙ лоступ к телефонной части, обосновывая тем, что якобы в глобальный список рекордов вносить пользователя привязываясь к номеру телефона.
Жесть.
Жесть.
Рутину надо автоматизировать. Программисты всегда же так делают?
Значит, нужно приложение, которое будет от имени пользователя следить за тем, какие разрешения запрашивает инсталлируемое приложение. И если есть что-то подозрительное, что пользователь явно указал «Не пущать!» — сигнализирует.
Дальше можно группировать запреты логическими операторами, скобками, помещать в поименованные профили — управлять, в общем.
Значит, нужно приложение, которое будет от имени пользователя следить за тем, какие разрешения запрашивает инсталлируемое приложение. И если есть что-то подозрительное, что пользователь явно указал «Не пущать!» — сигнализирует.
Дальше можно группировать запреты логическими операторами, скобками, помещать в поименованные профили — управлять, в общем.
Ну, современные «антивирусы», как понимаю, именно это и реализовывают (одна из функций). Проверять исполняемый код не позволит архитектура системы, а вот реагировать на установку и смотреть список прав (да и вообще, банально проверить приложение по чёрному списку какому-нибудь) разрешено.
Как правило после примерно пятого крика «не пущать!» программа-антивирускрикун отключается или сносится. Ибо решать пущать или не пущать становится опять рутиной…
очень интересная статья, интрига сохранялась до конца, и сохранилась =) ждём продолжение
Enjoy your freedom.
По крайней мере два провайдера в определенных ситуациях модифицируют трафик (например чтобы вставить банер вверху страницы, если сидеть через их вайфай в кафе, или перенаправить на свой сайт при нулевом балансе). Телефон при этом кричит о невалидном сертификате, но каков процент пользователей будет разбираться в этом. Сертификат невозможно проверить, принять? Принять. И всё, отправляем команды сколько влезет.
Какой-нибудь ie6 покажет невалидность лишь еле приметным значком в нижней панели, но версия повыше, как и другие браузеры кричат об этом на всю страницу. В офисе даже проблема была — после обновление браузера бухгалтер боялась зайти в онлайн-банкинг, так как банк не продлил сертификат.
Если сертификат действительно просрочен/некорректен/самоподписан, то устрашающая страничка отпугнёт многих пользователей.
Но я не помню, каким образом выводится предупреждение в браузере андроида. В Опере, кажется, надо нажать на ссылку «Продолжить» на служебной страничке уведомления.
Если сертификат действительно просрочен/некорректен/самоподписан, то устрашающая страничка отпугнёт многих пользователей.
Но я не помню, каким образом выводится предупреждение в браузере андроида. В Опере, кажется, надо нажать на ссылку «Продолжить» на служебной страничке уведомления.
AccountManager accountManager = AccountManager.get(getApplicationContext());
Account acct = getAccount(accountManager);
accountManager.getAuthToken(acct, «android», false, new GetAuthTokenCallback(), null);
Для того что бы выполнить этот код нужно уже выполнятся внутри вредоносного приложения, установленного на компьютере. Т.е. уже не имеет смысла.
Вся статья в таком же духе.
Хотя возможность гугла управлять моим телефонов нравится и беспокоит — ох этот смелый новый мир!
Account acct = getAccount(accountManager);
accountManager.getAuthToken(acct, «android», false, new GetAuthTokenCallback(), null);
Для того что бы выполнить этот код нужно уже выполнятся внутри вредоносного приложения, установленного на компьютере. Т.е. уже не имеет смысла.
Вся статья в таком же духе.
Хотя возможность гугла управлять моим телефонов нравится и беспокоит — ох этот смелый новый мир!
Уже представляю новую версию РД СОРМ:
«3.8.1 Оператор магазина приложений должен предоставлять уполномоченным правоохранительным органам доступ к административному интерфейсу удалённой инсталляции приложений на устройства пользователей.»
«3.8.1 Оператор магазина приложений должен предоставлять уполномоченным правоохранительным органам доступ к административному интерфейсу удалённой инсталляции приложений на устройства пользователей.»
Вот поэтому я никогда не куплю андроид)
Sign up to leave a comment.
Android-марионетки