Η ομάδα του GrapheneOS πίσω από το λειτουργικό σύστημα που βασίζεται στο απόρρητο και την ασφάλεια με το ίδιο όνομα, προτείνει ότι το
Android
θα πρέπει να εισαγάγει μια λειτουργία αυτόματης επανεκκίνησης για να κάνει πιο δύσκολη την εκμετάλλευση των ελαττωμάτων του υλικολογισμικού.
Η εργασία
αποκάλυψε
ότι πρόσφατα ανέφερε ευπάθειες υλικολογισμικού στο λειτουργικό σύστημα Android που επηρεάζουν τα τηλέφωνα
Google
Pixel και
Samsung
Galaxy
, τα οποία θα μπορούσαν να χρησιμοποιηθούν για την κλοπή δεδομένων και την κατασκοπεία των χρηστών όταν η συσκευή δεν είναι σε κατάσταση ηρεμίας.
Όταν μια συσκευή είναι «σε κατάσταση ηρεμίας», σημαίνει ότι είτε είναι απενεργοποιημένη είτε δεν έχει ξεκλειδωθεί μετά την εκκίνηση. Σε αυτήν την κατάσταση, οι προστασίες απορρήτου είναι πολύ υψηλές και η κινητή συσκευή δεν είναι πλήρως λειτουργική, επειδή τα κλειδιά κρυπτογράφησης δεν είναι ακόμα διαθέσιμα για χρήση από εγκατεστημένες εφαρμογές.
Το πρώτο ξεκλείδωμα μετά την επανεκκίνηση προκαλεί τη μετακίνηση πολλαπλών κρυπτογραφικών κλειδιών στη μνήμη γρήγορης πρόσβασης, έτσι ώστε οι εγκατεστημένες εφαρμογές να λειτουργούν σωστά και η συσκευή μεταβαίνει σε κατάσταση “μη ηρεμία”.
Η ομάδα του GrapheneOS τονίζει ότι το κλείδωμα της οθόνης μετά τη χρήση της συσκευής δεν την επαναφέρει σε κατάσταση “αδράνειας”, επειδή εξακολουθούν να υπάρχουν ορισμένες εξαιρέσεις ασφαλείας.
Η επανεκκίνηση της συσκευής τερματίζει όλες τις προσωρινές καταστάσεις, διεργασίες ή δραστηριότητες που θα μπορούσαν να εκμεταλλευτούν και απαιτεί έλεγχο ταυτότητας όπως PIN, κωδικό πρόσβασης ή βιομετρική επαλήθευση για ξεκλείδωμα, με αποτέλεσμα την εκ νέου ενεργοποίηση όλων των μηχανισμών ασφαλείας.
Αν και οι προγραμματιστές του GrapheneOS δεν έχουν μοιραστεί πολλές λεπτομέρειες σχετικά με τα σφάλματα υλικολογισμικού που εκμεταλλεύονται, πρότειναν έναν γενικό μετριασμό που θα λειτουργούσε καλά στις περισσότερες περιπτώσεις: μια δυνατότητα αυτόματης επανεκκίνησης που υπάρχει ήδη στο λειτουργικό τους σύστημα.
Η ιδέα είναι να ελαχιστοποιηθεί το παράθυρο ευκαιρίας για τους εισβολείς και να διαταραχθούν οι υπάρχοντες συμβιβασμοί με την επαναφορά όλων των συστημάτων προστασίας στη συσκευή πιο συχνά από ό,τι θα έκανε ένας χρήστης.
Το σύστημα αυτόματης επανεκκίνησης του GrapheneOS επαναφέρει τη συσκευή κάθε 72 ώρες, αλλά όπως σχολιάζει ο κατασκευαστής του λειτουργικού συστήματος, αυτό είναι πολύ μεγάλο χρονικό διάστημα και σχεδιάζουν να το μειώσουν.
Το GrapheneOS σημειώνει επίσης ότι οι λειτουργίες πτήσης σε smartphone που οι άνθρωποι υποθέτουν ότι μειώνουν την επιφάνεια επίθεσης συχνά εξακολουθούν να επιτρέπουν την ανταλλαγή δεδομένων μέσω Wi-Fi, Bluetooth, NFC και USB Ethernet, επομένως, ανάλογα με τον φορέα επίθεσης, μπορεί να μην είναι αποτελεσματικό μέτρο προστασίας.
Οι προγραμματιστές θίγουν το θέμα της ασφάλειας PIN/κωδικού πρόσβασης και τη σχέση του με τα συστήματα κρυπτογράφησης και ασφάλειας της συσκευής, καθώς αυτές οι μέθοδοι ελέγχου ταυτότητας χρησιμοποιούνται ως κλειδιά για την κρυπτογράφηση των δεδομένων της συσκευής.
Ο ασφαλής στραγγαλισμός στοιχείων είναι ζωτικής σημασίας για την εξασφάλιση σύντομων PIN και φράσεων πρόσβασης έναντι κρυφής ωμής επιβολής που θα μπορούσε να ξεκλειδώσει όχι μόνο την οθόνη αλλά και τον ασφαλή θύλακα στο τσιπ της συσκευής.
Το BleepingComputer έχει επικοινωνήσει με την ομάδα του GrapheneOS και την Google για να μάθει περισσότερα σχετικά με τα τρωτά σημεία που ανακαλύφθηκαν, τον αντίκτυπό τους και παρατηρούμενες περιπτώσεις εκμετάλλευσης. Δεν λάβαμε απάντηση από το GrapheneOS, αλλά η Google παρείχε την ακόλουθη δήλωση:
“Το GrapheneOS είναι ένα λειτουργικό σύστημα τρίτου κατασκευαστή για κινητά που βασίζεται στο Android Open Source Project. Το GrapheneOS ανέφερε αυτά τα ζητήματα στο Πρόγραμμα επιβράβευσης ευπάθειας Android (VRP) στις 2 Ιανουαρίου. Βρισκόμαστε στη διαδικασία ελέγχου και καθορισμού των επόμενων βημάτων” – Google
Η συχνή επανεκκίνηση της συσκευής σας Android ή iOS έχει διαφημιστεί ως καλή ιδέα για τη διόρθωση προβλημάτων όπως η θέρμανση, η μνήμη ή ακόμα και το σήμα κλήσης, αλλά επίσης. Από την άποψη της ασφάλειας, αυτή η
ενέργεια
μπορεί να προστατεύσει από παράνομη ανάκτηση δεδομένων ή κινητές απειλές που δεν διαθέτουν αποτελεσματικούς μηχανισμούς διατήρησης.
VIA:
bleepingcomputer.com
