Android Vulnerability Test Suite (VTS)

Každého uživatele by mělo zajímat, zda má jeho mobilní telefon s Androidem skutečně záplatován všechny v posledních letech nalezené zranitelnosti, včetně asi nejhorší z nich, zranitelnosti Stagefright (zprávička). Společnost NowSecure proto vytvořila užitečný nástroj, Android Vulnerability Test Suite (VTS), který může uživatelům oskenovat jejich Andoid zařízení na 22 známých zranitelností včetně Stagefright. Aplikace je dostupná přes Google Play a její zdrojové kódy jsou umístěné na GitHubu. [CSIRT.CZ]

9.11.2015 22:55 | Ladislav Hagara | Zajímavý software

Komentáře

[Fluttershy, yay!]

Proč by mě to mělo zajímat, pokud je můj telefon s Androidem permanentně offline? (Čímž myslím i režim letadlo.)

[biolog]

No tak tebe asi ne, ale ve světě je většina lidí normálních.

[Fluttershy, yay!]

To asi holt budu nenormální, když pořád nečumím na (a)sociální sítě, hudbu mám offline v přehrávači, fotím obvykle foťákem… a telefon mám na telefonování v krizových situacích a jako chytřejší budík.

[Tany]

A proč by to mělo zajímat BFU? Facebook lajkuje, youtube hraje a tweety se zobrazují ...

[Jendа]

a telefon mám na telefonování v krizových situacích

Takže není permanentně offline, ne?

(proč máš potom smartphone s Androidem?)

[Fluttershy, yay!]

Takže není permanentně offline, ne?

Co když krizová situace ještě nenastala?

(proč máš potom smartphone s Androidem?)

Protože za budík zatím nemám náhradu a děsí mě kvalita dumbphonů – experimentovat se mi nechce.

[biolog]

Ten telefon má na telefonování v jeho krizových situacích. Když budou mít krizovou situaci jeho kamarádi, nedovolají se mu.

[Fluttershy, yay!]

V krizových situacích se volá záchranka, ne kamarádi, ale možná to máte jinak…

[Max]

V tom případě jsi udělal chybu při koupi. Koupil jsi si telefon, který umožňuje přístup na net, zastat lehké focení, navigovat s aktuálním dopravním infem, vyhledávat spoje, vyřizovat maily, poslech hudby a spousty radií apod. a jako budík není úplně 100% spolehlivý. Skoro to i vypadá, že ten telefon používáš přesně opačně, než k čemu byl navržen. Zbytečně jsi tedy vyhodil peníze oknem. Stačila by ti nějaká Nokia se Symbianem, co ti na baterie vydrží 14 dní.
Zdar Max
PS:nechápu, kde lidi stále berou utkvělou představu, že chytrý telefon = facebook, twitter, hry

[Jendа]

Koupil jsi si telefon, který umožňuje přístup na net, zastat lehké focení, navigovat s aktuálním dopravním infem, vyhledávat spoje, vyřizovat maily, poslech hudby a spousty radií apod.

To jsem si myslel taky.

Pak jsem zjistil, že to neustále komunikuje s velkým bratrem, pak mi tam FSF našlo backdoor a pak se v tom objevily dva zerodaye zneužitelné pouhým posláním MMSky a výrobce se rozhodl, že je neopraví, a současně neexistuje workaround, protože systém neumí nastavit jinou aplikaci na handlování MMS.

Takže tam má roota každé script-kiddie, které si stáhne Stagefright a zjistí si moje telefonní číslo, tedy by takové kiddie mělo i ty mé fotky, maily, logy z navigace a vzhledem k tomu, že to nemá hardwarově odpojitelný mikrofon a vevnitř je to tak nahňahňané, že se do toho bojím pájet, tak i ambient sound.

K čemu je takový telefon?

[Vantomas]

Někde jsem viděl zmínku, že stačí vypnout automatické stahování MMS v nastavení zpráv. Nijak jsem to neštudoval zda to opravdu pomůže, ale přijde mi to logické, protože když se ta MMS nestáhne, tak se ta knihovna nemá z čeho exploitovat.

[Jendа]

To jsem tam nikde neviděl. Můžu nastavit APN na nesmysl, ale někteří operátoři umí resolvnout i nesmysl na svoje APN.

[Josef Kufner]

Pokud zadáš jako APN 127.0.0.1, tak to ani neopustí telefon (teoreticky) a operátor se nedostane ke slovu.

[Vantomas]

Určitě APN na 127.0.0.1? Jsem myslel, že APN je spíš označení na úrovní GSM sítě, takový VLAN než nějaké jméno co se resolvuje na IP adresy. Jo, kdyby možná MMS gateway nebo nějaký proxy server, který občas jdou někde nastavit, tak to potom chápu, ale pořád se navazuje datové spojení do té APNky a pořád to tam může dostat nějaké provisioning parametry kterými se přepíše to v telefonu...

[Vantomas]

Aha, tak to asi zase Samsung věděl líp jak napsat aplikaci pro SMS než je ta výchozí v Androidu a řekli si, že je přece zbytečné aby tam tato volba byla, kdo by to chtěl proboha vypínat, že ano. Vždycky ví všechno lépe než uživatel.

Ta možnost to vypnout je jak ve staré SMS a MMS aplikaci, tak i v Hangouts, kam to snad bylo přidáno až v nedávné verzi, asi jako reakce na tuto chybu.

http://www.pcadvisor.co.uk/how-to/google-android/how-stop-android-text-message-virus-app-3621072/ https://www.twilio.com/blog/2015/07/how-to-protect-your-android-device-from-stagefright-exploit.html

[Max]

Já bych to asi nezobecňoval . To, že si koupíš nějaký telefon bez supportu je tvůj problém. A pokud si ho teda koupíš a neřešíš to vlastní silou - alternativníma romkama, tak opět nevím, na co si stěžuješ? Sám víš, že chyby jsou úplně ve všem, je tedy logické si pořídit něco, na co vycházejí aktualizace, které takové věci řeší.
Zdar Max

[Mrkva]

Taky se na to da divat tak ze sis koupil vyrobek, klidne v zarucni dobe se u nej projevily skryte vady (bezpecnostni problemy) a vyrobce/prodejce to presto odmita resit. Zkusim tenhle pristup co nejdriv otestovat :)

[Max]

U většiny sw je kauzule ve smyslu "za nic neručíme". U každého většího výrobce se po prvním spuštění tel. odsouhlasovávají podobná ujednání.
Zdar Max

[Fluttershy, yay!]

Otázka zní, nakolik je to v souladu se zákonem.

[atalax]

Kdyby nebylo, tak by měl open source asi celkem problém.

[Fluttershy, yay!]

V Evropě může AFAIK platit jenom část licence; navíc je to otázka smlouvy mezi dodavatelem a klientem.

[Jendа]

Můžeš ten program reklamovat, určitě ti rádi vrátí všechny peníze, které jsi za něj dal.

[atalax]

Počkej, a ty jsi za vendorem dodaný software na tvém telefonu něco platil? Obvykle přece bývá více či méně přímo zdarma.

Nebo myslíš, že by měl vendor mít povinnost být zodpovědný za všechen předinstalovaný software na HW co prodává? Takže když bych prodával PC s Linuxem a někdo najde díru v kernelu, tak bych za to měl nějakým způsobem být zodpovědný? A co když jen přidám instalační médium? Odkaz na .iso na internetu? Papírek s nápisem "Install Gentoo"?

[Jendа]

To, že si koupíš nějaký telefon bez supportu je tvůj problém.

A jak se koupí telefon se supportem? Půjdu do Samsungu, vypláznu sto mega, a budu mít support?

A pokud si ho teda koupíš a neřešíš to vlastní silou - alternativníma romkama, tak opět nevím, na co si stěžuješ?

Nejde (bloby).

[Max]

Koupí se tak, že se zeptáš prodejce, nebo si info ověříš na netu. Osobně vím o třech, resp. čtyřech : Apple, Xiaomi a Google. Nejaktivnější je v updatech Apple a co jsem slyšel, tak Xiaomi. Google je sporadický, ale dlouhodobě také vychází.
A ve finále tu je ještě Blackberry.
Myslím si tedy, že výběr není tak malý.
Zdar Max

[xm]

Opravdu? Podle tohodle se nezdá, že by nešlo. Jistě, všech blobů (ovladače) se nezbavíš, ale to dnes bohužel asi u žádného smartphone.

[xm]

Jinak ten vývoj komunitních ROM pro Galaxy Chat je zdá se celkem mrtvý, ale můžeš v něm pokračovat ty sám, pokud tě to trápí Obecně když kupuju nový smartphone, vždy v prvé řadě ověřuju jaká je komunitní podpora na XDA, pokud žádná nebo minimální, tak rozhodně nebrat. Dnes už ale stejně jedině Nexusy (a nejlépe s podporou od Copperhead OS, což je zatím jen Nexus 5).

[Jendа]

Opravdu? Podle tohodle se nezdá, že by nešlo.

Tak třeba z toho posledního:

What does not work: wifi, GSM, Bugs in QWERTY hardware key layout

„Podporu“ od XDA-Developers jsem nepochopil. Většinou funguje tak, že se z nějakého Rapidshare stáhne binárka bez zdrojáků a dokumentace a někam se plácne. Ne, takhle by prostě systém vypadat neměl.

[xm]

Tak třeba z toho posledního:

What does not work: wifi, GSM, Bugs in QWERTY hardware key layout

Nečetl jsem detaily, ale s trochou (no... trochou víc) snahy by se to jistě i s bloby zprovoznit dalo. Portovat kernel není sranda, ale dá se to. Otázka je, jestli to za takovou snahu stojí...

„Podporu“ od XDA-Developers jsem nepochopil. Většinou funguje tak, že se z nějakého Rapidshare stáhne binárka bez zdrojáků a dokumentace a někam se plácne. Ne, takhle by prostě systém vypadat neměl.

Platí víceméně pravidlo, že pro smartphony s širokou podporou komunity na XDA nevznikají jen no-name anonymní ROMky s potenciálním malware, ale i neoficiální porty velkých projektů jako CM (a další) s veřejně dostupnými zdrojáky. Rozhodně nenabádám k tomu instalovat kdejaký image bez dostupných zdrojáků.

[⧠ A = 0]

Nechal jsem si vnutit od operátora Huawei Mediapad T1 8.0 (na splátky). Chtěl jsem zdrojáky k Androidu (abych si tam nahodil Cyanogenmod). Nedostal jsem je -> zařízení je vadné (porušuje AutZ, a zdržuji se plateb, dokud prodejce vadu neodstraní (tj. nedá mi zdrojáky).

[K>]

je jasne ze jsi blby trol, ale fakt by me zajimalo, k cemu je smartphone stale v rezimu letadlo. jako fotak?

[tomvec]

Ne, fotí foťákem.

[Fluttershy, yay!]

Vždyť jsem to napsal. ~,^

[Selmi]

stale dufa ze nazov pochopil spravne, ze tomu telefonu narastu kridla a naozaj zacne lietat

[Drom]

Já si třeba v dosboxu zapařil spoustu starých her :)

[Ravensun]

Mě by spíš zajímalo k čemu to lidem je, když je to maximálně jen vystraší protože zjistí že jejich android je děravý jak cedník a aktualizace nikde neboť výrobce na takovou povinnost pěkně z výšky s*re, poněvadž peníze už za zařízení dostal.

[R]

Aby sa vyrobcovia (a mozno aj Google) trochu prebudili. Situacia ohladom bezpecnosti Androidu je dlhodobo otrasna.

[izidor]

No urcite se da vysledek pouzit na zjisteni, od ktereho vyrobce je potreba dat ruce pryc. Muj Note 3 ma vysledek zeleny odzhora dolu a to jej mam jiz vice nez 2 roky. Mozna, ze se jednoho dne dockame na srovnavacich elektroniky nove polozky: "Softwareove updaty" s dobou bezpecnostni softwareove podpory.

[Jendа]

To nebude výrobcem, já mám od téhož výrobce Galaxy Ch@t rok a půl a vysral se na mě.

[R]

Samsung ma milion typov a v nich obrovsky bordel (to plati aj pre ich televizory). Pre "vlajkove lode" updaty su, pre lacnejsie modely nie...

[Ty vole]

+1

[tgb]

K cemu to lidem je? Treba k tomu, ze by se pri pristim nakupu mobilu meli poohednout po jinem vyrobci, pokud jejich soucasny model diry ma. Mela by se udelat tabulka vysledku pro ruzne modely s poslednimi dostupnymi aktualizacemi. Na Sony Xperia M4 Aqua mi to zadne bezpecnostni diry nehlasi. To je telefon stredni tridy.

[tgb]

Dnes se mi nainstaloval update VTS. Hlasi, ze na M4 Aqua mam diru sf-itunes-poc.

[Peter Golis]

Škoda že ten program nie je dostupný aj cez napríklad F-Froid.

[izidor]

nestaci apk dostupne zde?

[Peter Golis]

Ďakujem za link. Našlo mi to ⅔ aktívnych zraniteľností. Asi si poztiem novšiu ROM. Ale mať to cez nejaký free obchod by to bolo lepšie kôli updatom.

[Jura]

Nevíte někdo, zda ta appka rovnou nahlásí nějakému C&C, které zranitelnosti na mém mobilu jsou k dispozici?

[Vantomas]

To rovnou instaluje nějaký rootkit, když už si to člověk odkliká přes všechny ty antiviry.

[Petr Tomášek]

Každého uživatele by mělo zajímat, zda má jeho mobilní telefon s Androidem...

A co uživatelé, co telefon s Androidem nemají?