211service.com
Browser Exploit per Android mette in evidenza il problema di aggiornamento di Google
Un ricercatore di sicurezza ha scoperto un modo per acquisire circa il 70% dei dispositivi Android tramite una pagina Web o un'app. Non è noto se qualcuno stia effettivamente utilizzando l'exploit per attaccare i telefoni delle persone, ma i risultati del ricercatore ci ricordano che Google sta affrontando un crescente mal di testa perché non ha alcun modo per distribuire efficacemente gli aggiornamenti di sicurezza alle centinaia di milioni di dispositivi che eseguono il suo software in tutto il mondo. Molti di questi dispositivi hanno versioni obsolete di Android.
Il nuovo exploit è stato sviluppato da Joe Vennix, un ingegnere del software presso la società di sicurezza Rapid7 , che la scorsa settimana aggiunto l'exploit alla società Metasploit software utilizzato per testare dispositivi e sistemi per vulnerabilità note. Il suo codice fa uso di un bug, scoperto per la prima volta in dicembre 2012 , nel browser Web integrato in Android. L'exploit potrebbe essere utilizzato per prendere il controllo di un telefono dopo aver indirizzato qualcuno a una pagina Web con il codice dannoso incorporato o fornendo il codice tramite un'app, molte delle quali visualizzano contenuti come annunci utilizzando le funzionalità del browser di Android. Vennix ha scoperto che un'app Baidu , ad esempio, era vulnerabile all'exploit se installato su un dispositivo che utilizzava la versione di Android rilasciata nel dicembre 2013. Un altro ricercatore ha scoperto che l'exploit funziona su Google Glass .
Vennix stima che il 70% dei dispositivi Android sia vulnerabile all'exploit, in base a I numeri di Google per la proporzione di dispositivi che eseguono versioni diverse di Android. E soprattutto, sebbene Google abbia rilasciato una nuova versione di Android con una correzione per il bug sottostante nel novembre 2012, la maggior parte dei dispositivi che eseguono il software rimarrà probabilmente vulnerabile all'attacco finché rimarranno in uso perché non verranno aggiornati.
Google ha convinto molti produttori a installare Android sui propri prodotti, ma pochi sono veloci nel lanciare nuove versioni del software. Né Google dispone di alcun meccanismo per inviare gli aggiornamenti direttamente ai dispositivi, come quelli integrati nei sistemi operativi desktop, inclusi Microsoft Windows o Mac OS.
Ciò limita la capacità di Google di distribuire nuove funzionalità e patch di sicurezza ai dispositivi che eseguono il suo software. Finora l'azienda ha avuto scarso successo nell'affrontare il problema. Nel maggio 2011, ad esempio, Google ha annunciato l'Android Upgrade Alliance, in base alla quale gli operatori wireless avrebbero implementato rapidamente gli aggiornamenti Android per i primi 18 mesi di vita di un dispositivo. Ma il progetto è naufragato e non è più attivo. Google non ha risposto a una richiesta di commento.
Più di recente, Google ha cercato di eludere i gestori spostando alcune funzioni di Android in app separate, che possono essere aggiornate dagli utenti tramite l'app store Play dell'azienda. YouTube, Gmail e Google Search, ad esempio, erano integrati nel software Android ma ora sono app separate; Google può inviare aggiornamenti delle funzionalità e correzioni di sicurezza a queste app senza dover collaborare con altre società. Nelle versioni più recenti di Android, il codice del browser integrato è nascosto agli utenti che utilizzano invece una versione dell'app mobile del browser desktop Chrome di Google.
Tuttavia, questo approccio non copre il nucleo del software Android e non può correggere il bug scoperto da Rapid7. Dirk Sigurdson, direttore dell'ingegneria per il prodotto di Rapid7 per proteggere i dispositivi mobili, Mobilesafe, afferma che i dispositivi acquistati da società diverse da Google non possono essere considerati sicuri. La soluzione migliore per ora è acquistare dispositivi Google Nexus o Google Play edition, che vengono aggiornati molto più rapidamente con le ultime versioni di Android, afferma.
Dal lancio del software nell'ottobre 2008, sono stati attivati oltre un miliardo di dispositivi Android. secondo Google . I dispositivi Android difficilmente sono afflitti da malware nella misura in cui lo sono i PC e l'uso di app store aiuta a limitare la diffusione di codice dannoso. Anche così, l'incidenza del malware è in crescita e si prevede che peggiorerà notevolmente (vedi Attacchi all'intensificazione di Android e Nuovi modelli di business per malware per portare problemi di sicurezza del PC ai dispositivi mobili).
Dopo che il sistema operativo Windows di Microsoft è stato vittima di un'ampia gamma di malware, l'azienda ha creato un sistema in cui gli aggiornamenti di sicurezza venivano continuamente sviluppati e distribuiti ai PC. Apple utilizza un modello simile per mantenere aggiornati i suoi dispositivi mobili. A settembre, ad esempio, solo una settimana dopo che è stato scoperto un bug che ha permesso a qualcuno di bypassare la schermata di blocco di un iPhone , l'azienda ha lanciato una correzione .
Questo approccio potrebbe aiutare anche Android, afferma il consulente per la sicurezza Graham Cluley, ma è improbabile che sia interessante per Google a causa del modo in cui distribuisce Android gratuitamente e consente ai produttori di dispositivi e ai gestori di telefonia mobile di modificare il software. Il problema fondamentale, sospetto, è che non controllano l'hardware e il software, dice. Anche se tutti questi dispositivi eseguono Android, eseguono diverse versioni ottimizzate con interfacce utente e componenti aggiuntivi diversi.
Uno dei motivi per cui le aziende non trasmettono gli aggiornamenti di Google ad Android oggi è che ci vuole lavoro per garantire che queste modifiche funzionino ancora correttamente su una nuova versione. Gli aggiornamenti automatici potrebbero interrompere le modifiche Android di un'azienda, afferma Cluley.