نوپاتر بودن سيستم‌عامل موبايل آندروئيد در مقايسه با بسياري از سيستم‌عامل‌هاي رايج کنوني از يک سو و گسترش آن در ميان کاربران از سوي ديگر باعث شده تا طي چند ماه اخير چند گزارش امنيتي درباره ضعف‌هاي آن در رسانه‌ها منتشر شود. تعدد اين ضعف‌ها براي سيستم‌عاملي که به تازگي قدم به دنياي فناوري گذاشته و البته با استقبال زيادي مواجه شده، چندان عجيب نيست و چنانچه گوگل نسبت به برطرف‌كردن ايرادهاي گزارش شده به موقع اقدام کند، روند رو به رشد آن ادامه خواهد يافت. يکي از تازه‌ترين گزارش‌ها درباره وضعيت امنيتي آندروئيد چندي پيش منتشر و در آن اعلام شد که داده‌هاي خصوصي کاربراني که با گوشي‌ها يا دستگاه‌هاي مجهز به آندروئيد 2,3,3 يا نسخه‌هاي پيش از آن به شبکه‌هاي واي‌فاي ناامن متصل مي‌شوند، در معرض افشا شدن قرار دارد. طبق اين گزارش، بررسي‌هاي پژوهشگران دانشگاه Ulm آلمان نشان مي‌دهد، بيش از 99 درصد اسمارت‌فون‌هاي آندروئيدي به‌سادگي در معرض تهديد هکرهاي موبايل قرار دارند. از اين‌رو، ‌مهاجمان مي‌توانند با استفاده از داده‌هاي فاش شده، خود را به جاي صاحب واقعي آن داده‌ها جا بزنند و به حساب‌هاي آنلاين کاربران در گوگل و شبکه‌هاي اجتماعي دسترسي پيدا کنند.
اين گزارش مي‌افزايد، باستين کونينگز، جنز نيکلز و فلوريان شاوب، پژوهشگران دانشگاه Ulm علت اين ضعف آندروئيد را پياده‌سازي نادرست پروتکل ClientLogin عنوان کرده‌اند که از آن در آندروئيد 3/3/2و نسخه‌هاي قبلي استفاده شده‌است. زماني که کاربر اطلاعات خود را براي ورود به يک ‌سايت وارد مي‌کند، پروتکل ClientLogin يک توکن احراز هويت (authToken) دريافت مي‌کند که به صورت يک فايل به طو ركامل متني ارسال مي‌شود. با توجه به اين‌که اعتبار توکن احراز هويت چهارده روز است و در اين بازه زماني مي‌تواند بارها مورد استفاده قرار بگيرد، هکرها مي‌توانند به اطلاعات ذخيره‌شده در فايل مذکور دسترسي پيدا کنند.
اين پژوهشگران در وبلاگ خود نوشته‌اند: «ما مي‌خواستيم بدانيم که آيا مي‌توان در برابر سرويس‌هاي گوگل واقعاً يک حمله جعل شخصيت ترتيب داد يا خير و به اين منظور تحليل‌هاي خود را آغاز کرديم.» پاسخ کوتاه بود: «بله، اين کار ممکن است و انجام آن بسيار آسان است.» همچنين، چنين حمله‌اي به سرويس تقويم گوگل (Google Calendar) و تماس‌ها (Contacts) محدود نيست، بلکه به لحاظ نظري همه سرويس‌هاي گوگل که از پروتکل احراز هويت‌ ClientLogin براي دسترسي به داده‌هاي API آن استفاده مي‌کنند، در معرض چنين حمله‌اي قرار دارند.
اين پژوهشگران مي‌نويسند: «يک مهاجم براي گردآوري اين توکن‌ها در مقياسي بزرگ، مي‌تواند با استفاده از يک SSID مشترک از يک شبکه بي‌سيم که رمزنگاري نشده (تي‌موبايل، attsifi، starbucks) يک نقطه دسترسي واي‌فاي ايجاد کند. منظور از SSID (سرنام Service Set Identifier) نامي است که يک شبکه محلي بي‌سيم 802.11 را مشخص مي‌کند. تلفن‌هاي آندروئيدي با تنظيم‌هاي پيش‌فرض به طور خودکار به يک شبکه از پيش شناخته‌شده متصل مي‌شوند و بسياري از برنامه‌ها فوراً درصدد همگام‌سازي خود با آن برمي‌آيند. طي حمله در حالي‌که اين فرآيند همگام‌سازي از کار مي‌افتد (مگر اين‌که مهاجم اين درخواست‌ها را ارسال کند)، مهاجم توکن‌هاي احراز هويت چنين سرويسي را که درصدد همگام‌شدن بود، ضبط مي‌کند. اين پژوهشگران براي برطرف كردن اين مشکل به توسعه‌دهندگان و کاربران گوگل و آندروئيد چند راهکار پيشنهاد داده‌اند. توسعه‌دهندگاني که برنامه‌هايشان از ClientLogin بهره مي‌برد بايد به سرعت به https سوئيچ کنند. شرکت گوگل نيز بايد چرخه فعاليت هر توکن احراز هويت را محدود کند و تنها زماني اجازه اتصال خودکار بدهد که شبکه مورد استفاده امن باشد. کاربران آندروئيد بايد سيستم‌عامل دستگاه‌هاي خود را هر چه زودتر به نسخه 2,3,4 ارتقا دهند و همچنين قابليت همگام‌سازي خودکار در حين اتصال از طريق واي‌‌فاي را خاموش کنند يا تمام اتصال‌ها را به شبکه‌هاي واي‌‌فاي نا امن غيرممکن کنند. به طور معمول، محصولات جديد به مرور سهم خود را در بازار افزايش مي‌دهند و همين موضوع باعث مي‌شود تا شرکت‌هاي عرضه‌کننده با چالش کمتري نسبت به شناسايي ضعف‌ها و برطرف کردن آن‌ها اقدام کنند. اما استقبال گسترده از آندروئيد که شايد بخش زيادي از آن مرهون نام گوگل در کنار اين سيستم‌عامل است، باعث شد تا شناسايي ضعف‌هاي امنيتي در آن حساسيت‌هاي بيشتري داشته باشد.
منبع:ماهنامه شبکه
ارسال توسط کاربر محترم سايت : hasantaleb