Chyba v Androidu umožňuje odemknout telefon pomocí dlouhého náhodného hesla

V Androidu 5.x byla nalezena a opravena bezpečnostní chyba CVE-2015-3860. Telefon chráněný heslem lze odemknout pomocí dlouhého náhodného hesla. Ukázka na YouTube.

16.9.2015 13:13 | Ladislav Hagara | Bezpečnostní upozornění

Komentáře

[Attila]

to nebola asi chyba :) ...ale radšej by ma zaujimalo ako rootnem takto jednoducho svoj lg D295 :)

[xm]

Pěkná chyba Naštěstí číselný PIN zámek tím ovlivněný není. Na odemknutí displaye klidně jen 4 číselný PIN bohatě stačí (kdo by se pořád každou chvíli zadával se silným heslem, to by se z toho člověk zcvoknul). Ovšem musí to být v kombinaci se zapnutým šifrováním a rozdílným silným šifrovacím heslem (přičemž po 3 chybných pokusech o odemčení se telefon rebootuje a útočník je nucen zadat silné šifrovací heslo). Viz opensource aplikace SnooperStopper, která tohle zajišťuje.

[izidor]

tak tuhle aplikaci by meli bundlovat v kazdem Android zarizeni. Bohuzel aplikace pozaduje root, takze pro me zatim no-go, ale existuje podobna aplikace, ktera by po nastavenem poctu chybne zadanych PINu proste jen nekam zavolala/poslala SMS/email/provedla task v taskeru? Byl bych pak schopen si to nastavit na remote wipe, coz by mi pro moje potreby uplne dostacovalo.

[xm]

Tak různých Android device admin aplikací (co umožňují vzdálenou správu zařízení - říká se jim taky anti-theft, atp.) jsou hromady. Ale to vyžaduje důvěřovat firmě, která to provozuje, s prakticky totálním backdoorem do vašeho vlastního zařízení. To není zrovna ideální a s bezpečností se to neslučuje

Našel jsem jedinou takovou aplikaci (navíc zdá se že je to jedna z těch nejlepších), která je opensource: Prey (zdrojový kód zde: https://github.com/prey). Opensource je bohužel jen zdá se klientská část, nikoliv serverová, takže kdyby to chtěl člověk třeba provozovat s vlastním serverem, musel by si serverovou část napsat sám (pokud už to tedy někdo neudělal, nejdřív bych si prolezl GitHub ).

[GeoRW]

nie velmi podareny backdoor