mboost-dp1

CyanogenMod

Populær Android-mod logger adgangskode

- Via Ars Technica - , redigeret af Pernicious

Hvis du har en Android-baseret telefon og anvender den populære open-source firmware CyanogenMod, så bør du overveje at opgradere, idet der siden en opdatering i august, har eksisteret en funktion, der logger den swipe-adgangskode, som kan anvendes.

Ændringen er blevet opdaget af udvikleren Castro, der er overrasket over, at der ikke er nogen som har opdaget den linje kode, der sørger for at logge koden i en fil på enheden.

Selvom ens smartphone indeholder en logfil med de koder, man måtte have anvendt siden august, så er det svært at udnytte den. Det kræver nemlig, at en person får fysisk adgang til enheden eller en eventuel backup, man måtte have lavet af sin enhed.

Linjen er nu fjernet i den seneste build af CyanogenMod, der kan hentes på deres download-hjemmeside.





Gå til bund
Gravatar #1 - Mr AC
25. okt. 2012 06:00
Nu er problemet jo ikke i deres "officielle" release men i deres "Nightly Build", dvs. deres beta-udgave og så vil jeg mene at man må finde sig i diverse bugs af forskellig karakter.

Tør man ikke løbe chancen, så skal man holde sig til deres "Stable" udgaver.

Jeg har selv brugt CyanogenMod's Nightly ROM i over et år og er godt tilfreds med hastighed, features, stabilitet og den hastighed som de kommer med opdateringer med.
Gravatar #2 - Hånter
25. okt. 2012 06:05
#1 Så du mener at det er okay at indhente den slags oplysninger, fordi det er en beta-udgave af noget software?

Ville det også være i orden hvis det havde været Windows 8's Beta udgave, og at den så loggede dine adgangskoder? Det holder jo ingen steder.

Det er da altid noget de har fjernet den del af deres kode nu, så man atter kan vide sig "sikker".
Gravatar #3 - KongHelmer
25. okt. 2012 06:11
Tyven skal have fysisk adgang til devicen, så mere farligt er det vel ikke. At finde en "rigtig" tyv der også er en hacker, er vel minimal.
Gravatar #4 - ufomekaniker2
25. okt. 2012 06:24
De er vel blevet logget af en eller anden grund, ikke? Ellers må man formode at programmøren ikke gad at spilde tid på den slags.
Gravatar #5 - f-style
25. okt. 2012 06:35
Har man fysisk adgang til ens telefon evt. ved at få den stjålet så er chancerne alligevel ret store for at det bliver udnyttet. Det er noget andet hvis det var via remote, wifi eller lignende. Det svarer jo til at have fysisk adgang til pc'en, så skal der heller ikke meget til at komme ind på computeren. Bl.a. kan de fleste passwords omgåes via software som konboot selv i windows 7, ved ikke med windows 8...
Gravatar #6 - SAN
25. okt. 2012 06:37
#4 Det kan jo også "bare" være en troll der ville se hvor længe der gik for det blev opdaget, det lyder umiddelbart som et hack der er svært at bruge til noget.
Gravatar #7 - Mr AC
25. okt. 2012 07:01
Hånter (2) skrev:
#1 Så du mener at det er okay at indhente den slags oplysninger, fordi det er en beta-udgave af noget software?

Ville det også være i orden hvis det havde været Windows 8's Beta udgave, og at den så loggede dine adgangskoder? Det holder jo ingen steder.


Altså, for det første så bliver adgangskoden gemt lokalt på dit device og ikke sendt nogen steder hen.

For det andet, så er det nok mere en forglemmelse at det "slap ud". Min teori er at det er noget debug-kode som udviklerne har glemt at fjerne.

For det tredie, hvis Windows 8 beta gemte alle mine passwords i en lokal fil uden at transmittere dem nogen steder hen, så ville det rent faktisk være OK med mig hvis det var under de samme omstændigheder, dvs. en "hovsa" fra udviklernes side, som der sidenhen blev informeret om og fjerne og som heller ikke vil forefindes i den endelige release.

Jeg mener stadig at hvis man vælger at bruge beta-software, så er man i princippet lidt selv ude om alle de bugs, mangler og sikkerhedsbrister man udsætter sig selv for...

Definitionen af beta-software:
"Beta is the software development phase following alpha. It generally begins when the software is feature complete. Software in the beta phase will generally have many more bugs in it than completed software, as well as speed/performance issues."
Wikipedia
Gravatar #8 - Lowkey
25. okt. 2012 07:05
#1

Hvis du kører nightlies, så bør du tage et kig på CyanDelta, hvis du ikke allerede bruger det.
Gravatar #9 - Radissan
25. okt. 2012 07:17
Jeg har ikke siddet så meget i android, så ved ikke om det er muligt, men. Kunne man forestille sig at man kunne lave et app forklædt som et andet app, til at læse denne log fil (i baggrunden) og på den måde danne statistik på folks passcodes.

Fordi tro det eller lad vær, men den sø stjerne du tegner er altså ikke unik.
Gravatar #10 - HerrMansen
25. okt. 2012 07:20
#2: Ja det er réelt helt okay - det er en beta udgave - ikke fit for public consumption. At de har smækket noget kode ind som ikke er helt genialt er at forvente - det ryger jo til den offentlige opdatering.

Og som nævnt ér koden jo gemt lokalt og sendes ingen steder.
Gravatar #11 - Magten
25. okt. 2012 07:23
Mr AC (1) skrev:
Nu er problemet jo ikke i deres "officielle" release men i deres "Nightly Build", dvs. deres beta-udgave og så vil jeg mene at man må finde sig i diverse bugs af forskellig karakter.
Bestemt. Men det er da stadig uheldigt at have det med, og endnu mere at de tilsyneladende havde glemt alt om det.

Men fejl sker, vi er kun mennesker.
Gravatar #12 - gensplejs
25. okt. 2012 08:29
Hånter (2) skrev:
#1 Så du mener at det er okay at indhente den slags oplysninger, fordi det er en beta-udgave af noget software?

Ville det også være i orden hvis det havde været Windows 8's Beta udgave, og at den så loggede dine adgangskoder? Det holder jo ingen steder.

Det er da altid noget de har fjernet den del af deres kode nu, så man atter kan vide sig "sikker".

Det er IKKE beta udgaver... det er pre pre pre pre alfa udgavere som bliver bygget automatisk hver nat uanset kodens tilstand. Det har intet med en releaset beta at gøre.

Det er forventligt at der er alle mulige fejl, mangler huller, halvt færdige features osv osv osv...
Det er hele konceptet.

Hvis Apple, google, ms eller andre lavede nightly builds af deres systemer ville man opleve nøjagtig de samme ting.
Det er ikke unormalt at smide logning på noget som ikke skal logges mens man ændre funktionen.
Det er klart at den slags skal fjernes igen inden det frigives til brugere men det er jo netop også det som er sket her.

Bortset fra det bruger jeg ikke CM... AOSP har alt hvad jeg skal bruge og google smider ikke updates på mine nexus dimser før koden er klar :-)
Gravatar #13 - darkshark
25. okt. 2012 08:32
Dissan (9) skrev:
Jeg har ikke siddet så meget i android, så ved ikke om det er muligt, men. Kunne man forestille sig at man kunne lave et app forklædt som et andet app, til at læse denne log fil (i baggrunden) og på den måde danne statistik på folks passcodes.


Nej, det tillader Androids sikkerhedsmodel ikke. Som udgangspunkt køre alle apps i en seperat process, med en unik UID, og kan kun læse gemte filer med matchende UID.

Man kan dog godt dele data på tværs af apps, men dette sker v.hj.a. såkaldte ContentProviders, og er en anden snak.

Læs evt. mere om Androids sikkerhedsmodel her.
Gravatar #14 - imacomputer
25. okt. 2012 12:35
darkshark (13) skrev:

Nej, det tillader Androids sikkerhedsmodel ikke. Som udgangspunkt køre alle apps i en seperat process, med en unik UID, og kan kun læse gemte filer med matchende UID.

Man kan dog godt dele data på tværs af apps, men dette sker v.hj.a. såkaldte ContentProviders, og er en anden snak.




Med mindre det er på SD kortet - der har alle apps fri skrive/læse adgang til det hele (hvis de har modify SDcard permission self).
Gravatar #15 - Manofsciencemanoffaith
25. okt. 2012 14:17
imacomputer (14) skrev:
Med mindre det er på SD kortet - der har alle apps fri skrive/læse adgang til det hele (hvis de har modify SDcard permission self).


Så vidt jeg ved kan alle apps frit læse fra SD kortet, mens det kræver rettigheder at skrive til kortet.
Gravatar #16 - darkshark
25. okt. 2012 17:32
imacomputer (14) skrev:
Med mindre det er på SD kortet - der har alle apps fri skrive/læse adgang til det hele (hvis de har modify SDcard permission self).


I know, det var også derfor jeg skrev "som udgangspunkt" ;)
Gå til top

Opret dig som bruger i dag

Det er gratis, og du binder dig ikke til noget.

Når du er oprettet som bruger, får du adgang til en lang række af sidens andre muligheder, såsom at udforme siden efter eget ønske og deltage i diskussionerne.

Opret Bruger Login