mboost-dp1

Google

Forskere finder sikkerhedshuller i flere Android apps

- Via Ars Technica - , indsendt af Magten

I Tyskland har forskere ved universiteterne Leibniz og Marburg fundet ud af, at en række apps, der kan hentes via Google Play, kommunikerer usikkert med webservere.

I alt har de identificeret 41 apps, hvoraf en af dem er downloadet 185 millioner gange. Fælles for dem er, at når de kommunikerer med en webserver, så anvender de SSL på en måde der er fejlbehæftet. Ved at udnytte denne fejl, har det været muligt for forskerne at aflure alt fra netbank-oplysninger til loginoplysninger til Facebook.

Forsker bag undersøgelse skrev:
We could gather bank account information, payment credentials for PayPal, American Express and others. Furthermore, Facebook, email and cloud storage credentials and messages were leaked, access to IP cameras was gained and control channels for apps and remote servers could be subverted.

I et tilfælde lykkedes det ligeledes forskerne at snyde et antivirusprogram, til at acceptere signaturfiler som de selv havde udviklet.

Forskerne nævner ikke hvilke apps de har identificeret, men at de fandt dem ved at undersøge 13.500 tilfældige gratis programmer fra Play. Ud fra disse var 1.074 potentielt usikre, så 100 blev udvalgt til en detaljeret gennemgang, hvoraf de 41 apps blev fundet.

Google har endnu ikke kommenteret forskernes resultater, men forskerholdet påpeger, at der er skridt Google kan tage, for at minimere problemerne med dårlig implementering af SSL af udviklere.





Gå til bund
Gravatar #1 - webwarp
23. okt. 2012 05:52
1) Super godt, at der er fokus på sikkerhed og kvalitetscheck.
2) Men - helt ærligt, et resultat, hvor de blot finder 0,3% usikre apps, det betragter jeg godt nok som en success for sikkerheden, ikke som en fiasko. Hvis jeg checkede 13.000 websider ville jeg som it-kriminel rette min opmærsomhed den vej, for der tør jeg godt garantere at antallet af usikre sider er langt højere.
Gravatar #2 - PHP-Ekspert Thoroughbreed
23. okt. 2012 05:59
webwarp (1) skrev:
1) Super godt, at der er fokus på sikkerhed og kvalitetscheck.
2) Men - helt ærligt, et resultat, hvor de blot finder 0,3% usikre apps, det betragter jeg godt nok som en success for sikkerheden, ikke som en fiasko. Hvis jeg checkede 13.000 websider ville jeg som it-kriminel rette min opmærsomhed den vej, for der tør jeg godt garantere at antallet af usikre sider er langt højere.



13.500 tilfældige gratis programmer fra Play. Ud fra disse var 1.074 potentielt usikre, så 100 blev udvalgt til en detaljeret gennemgang, hvoraf de 41 apps blev fundet.


Hov hov, der var 12,6% potentielt usikre sider!.. Tallet kan snildt være meget højere end de 41, de havde velsagtens bare ikke tid til at kigge alle igennem ...
Gravatar #3 - webwarp
23. okt. 2012 06:08
#2 Potentielt usikre, ja øh ? Men kun de 0,3 % der var ? Har ingen anelse om, hvordan du kom frem til 12,6% - kunne have forstået hypotesen om 8%?? Du synes ikke at 13.400 er nok til at sikre, at statistik grundlaget er ok, og tror at undersøge 20.000 yderligere vil hæve %-vis antal væsentlig - Der tror jeg du skal søge om at få lidt skole penge igen, det vil statistisk set være håbløse odds for ? Normalt vil man blot undersøge fx 1000 for at have et rimeligt grundlag, så der tror jeg ikke vi kan klandre dem for at have leveret usikre data.
Gravatar #4 - PHP-Ekspert Thoroughbreed
23. okt. 2012 06:14
#3
De undersøgte 13.500 sider
Ud af dem var 1.074 potentielt usikre - hvilket forøvrigt er 8% og ikke 12,6 - lavede en regnefejl (regnede med 1.740 sider istedet)

Anyway - det giver 8% potentielle usikre sider

Jeg skrev ALDRIG at 13.500 sider ikke var nok til at få et statistisk grundlag, jeg påpegede blot at de kun undersøgte godt 10% af de usikre sider (100 sider) og af dem fik en "fejlrate" på 41% (41 sider)

Ud af det må vi jo kunne konkludere at 41% af de potentielt usikre sider rent faktisk er usikre, hvilket vil give 440 usikre sider = 3,3% af siderne er usikre, og IKKE de 0,3% som du skriver.

Du skal vist selv have skolepengene tilbage mester ;)
Gravatar #5 - webwarp
23. okt. 2012 06:22
#4 Nej, for du fordrejer jo tallene. Du skal jo - selvfølgelig - se på, hvor mange, der er usikre af det samlede antal undersøgte, ikke af et særudsnit, du undersøger særlig meget fordi du tror her måske er håb for at finde noget. Det er jo noget mærkelig noget. Som at stå i trafikken, måle hastigheden på alle, så bagefter kun udpege hurtigere nye bimmere i trafikken, måle hastigheden på disse, og så konkludere, at 30% kører for stærkt, fordi et lille udsnit gjorde, på trods af at den store brede forsamling af biler kørte pænt?
Gravatar #6 - PHP-Ekspert Thoroughbreed
23. okt. 2012 06:26
#5

Den metode er jo også forkert - du kan jo ikke sige følgende: (for at bruge din bilanalogi)

Vi måler hastigheden på 10.000 biler (13.500 apps)
1.000 af dem kører over 50 (1074 potentielt usikre)
100 af dem er sorte (100 blev undersøgt)
41 af de sorte biler kørte for hurtigt (41 var usikre)
0,04% af ALLE bilerne kørte for hurtigt (41 ud af 13.500 = falsk resultat)
Gravatar #7 - kblood
23. okt. 2012 06:54
Alt dette lykkedes så vidst også kun hvis brugeren var på samme WiFi netværk som hackeren. Synes jeg også er rimelig relevant.
Gravatar #8 - Zigma
23. okt. 2012 07:06
#7: Det var det mest relevante indlæg i denne debat. :)
Gravatar #9 - dprocs
23. okt. 2012 07:57
Nej nej nej, det er fa'me nok at jeg skal sidde og lave statistik i min fritid...

Gider ikke til at se på det imens jeg er på arbejde...


Få nu bare banket de tal ind i JMP, og lad os komme videre....

:-P
Gravatar #10 - hyænen
23. okt. 2012 11:17
Det er bare et forpulet lorte-OS.
Gravatar #11 - Brugernavn
23. okt. 2012 14:18
kblood (7) skrev:
Alt dette lykkedes så vidst også kun hvis brugeren var på samme WiFi netværk som hackeren. Synes jeg også er rimelig relevant.


Det er også slemt nok. Der er mange store lufthavne derude.
Gravatar #12 - kblood
23. okt. 2012 14:46
Brugernavn (11) skrev:
Det er også slemt nok. Der er mange store lufthavne derude.


True, men så må man låne en af deres computere istedet for at bruge sin telefon til at gå på deres WiFi. Om så jeg havde en iPhone ville jeg ikke tage chancen. Jeg bruger hellere 3G. Jeg har et specielt simkort jeg bruger i udlandet, som dækker EU med data til 5 kr. per MB mener jeg det er, hvis ikke prisen er faldet.
Gravatar #13 - Taxwars
23. okt. 2012 19:42
Dog uden at de vil dokumentere deres påstand. Så bye bye.
Gravatar #14 - Brugernavn
23. okt. 2012 22:03
kblood (12) skrev:
True, men så må man låne en af deres computere istedet for at bruge sin telefon til at gå på deres WiFi

Jeg har aldrig set en lånecomputer i en lufthavn...
kblood (12) skrev:
Om så jeg havde en iPhone ville jeg ikke tage chancen. Jeg bruger hellere 3G.

Det ville jeg. Jeg bruger jo SSH og SSL til ting, jeg ikke vil have at andre skal se. F.eks. mail og kalender synkronisering.
Gravatar #15 - NightZtorm
23. okt. 2012 22:24
#12
problemet er bare at hr og fru Danmark ved ikke at det kan være problematisk at bruge deres netbank på et offentligt Wi-Fi...
Ser det dog som udviklerne af netbanks appets ansvar at gøre det sikkert, og ikke Googles
Gravatar #16 - kblood
24. okt. 2012 07:13
Brugernavn (14) skrev:
Jeg har aldrig set en lånecomputer i en lufthavn...
kblood (12) skrev:
Om så jeg havde en iPhone ville jeg ikke tage chancen. Jeg bruger hellere 3G.

Det ville jeg. Jeg bruger jo SSH og SSL til ting, jeg ikke vil have at andre skal se. F.eks. mail og kalender synkronisering.


London og Aalborg har. Kan ikke lige huske om København har, eller hvilken lufthavn i London det var. Men det forekommer nu at de har.

Men hvis de kunne sikre det bedre, så skal de da selvfølgelig gøre det. Jeg tænker bare stadigt at det disse folk har gjort har været i test miljøer hvor de har kunne give sig selv den tid det ville kræve at få dette til at lykkes. Den luksus burde de ikke have i en lufthavn. Men chancen er da for at det kan nå at lade sig gøre alligevel formoder jeg.

Lige netbank kræver da vel nu stadigt nem id for os Danskere. Så jeg tror ikke den del rammer os.
Gravatar #17 - Manofsciencemanoffaith
24. okt. 2012 12:39
kblood (12) skrev:
True, men så må man låne en af deres computere istedet for at bruge sin telefon til at gå på deres WiFi. Om så jeg havde en iPhone ville jeg ikke tage chancen. Jeg bruger hellere 3G.


Hvorfor tror du 3G er mere sikkert? Tænk lige på hvor mange mystiske routere og lande dine pakker går igennem, inden de ankommer til dig.
Gravatar #18 - Chewy
25. okt. 2012 21:54
@ #17
Hvis han bruger SSL burde han da været sikret mod det meste.. (Og hvis han samtidig har sund fornuft, så burde han være der..)
Gå til top

Opret dig som bruger i dag

Det er gratis, og du binder dig ikke til noget.

Når du er oprettet som bruger, får du adgang til en lang række af sidens andre muligheder, såsom at udforme siden efter eget ønske og deltage i diskussionerne.

Opret Bruger Login