21 stycznia 2016 r
Zaledwie kilka dni temu Perception Point, izraelska firma zajmująca się bezpieczeństwem w Internecie, odkryła lukę w zabezpieczeniach w jądrze systemu Linux, która działa na nieskończoną liczbę serwerów, komputerów stacjonarnych i, co najważniejsze, urządzeń mobilnych z systemem Android. Haker, który chce wykorzystać tę lukę, może uzyskać uprawnienia na poziomie root'a na urządzeniu i uzyskać nieautoryzowany dostęp do danych lub wykonać kod zgodnie z jego wolą.
- FAQ na temat strategii ochrony danych dla przedsiębiorstw
Więcej informacji na temat usterki jądra systemu Linux
Zdaniem ekspertów powód luki leży w rdzeniu jądra Linuksa, co jest bardzo podobne na serwerach, komputerach i urządzeniach z Androidem. Uważa się, że ta wada, której przypisano nazwę CVE-2016-0728, wpłynęła na ponad 60 procent wszystkich urządzeń z systemem Android. Nawiasem mówiąc, błąd ten pojawił się już w 2012 roku w wersji Linux 3.8 i nadal istnieje zarówno w 32-bitowych, jak i 64-bitowych systemach Linux.
Niepokojące jest to, że luka istnieje od prawie 3 lat i potencjalnie pozwoliła hakerom uzyskać nieautoryzowaną kontrolę nad serwerami uruchomionymi pod Linuksem, komputerami PC, Androidem i innymi urządzeniami wbudowanymi. Zasadniczo wynika to z jądra jądra i umożliwia aplikacjom działającym pod lokalnym użytkownikiem wykonanie kodu w jądrze. Oznacza to, że luka może narazić wrażliwe dane użytkowników, w tym uwierzytelnianie i klucze szyfrowania, na ryzyko narażenia.
- W jaki sposób programiści aplikacji mogą zapewnić lepsze zabezpieczenia dla klientów mobilnych?
Jak to może stanowić zagrożenie dla Androida
Problemem, który może potencjalnie sprawić, że ta luka jest poważnym problemem, będzie wpływ na wszystkie architektury, w tym ARM. To automatycznie oznacza, że wszystkie urządzenia z Androidem 4.4 KitKat i nowszym są odporne na to. Obecnie stanowi to prawie 70 procent wszystkich urządzeń z Androidem.
System operacyjny Android jest już znany z wysokiego stopnia fragmentacji i opóźnień aktualizacji. Google udostępnia poprawki zabezpieczeń producentom urządzeń, którzy następnie stosują je oddzielnie. Firma rozpowszechnia inne aktualizacje we współpracy z danymi operatorami telefonii komórkowej. Aby jeszcze bardziej skomplikować sprawę, większość tych urządzeń otrzymuje wsparcie oprogramowania tylko przez okres 18 miesięcy, po czym nie otrzymują one żadnych aktualizacji ani poprawek. Oznacza to, że wielu użytkowników urządzeń, zwłaszcza tych korzystających ze starszych urządzeń z Androidem, może nigdy nie skorzystać z najnowszych aktualizacji i poprawek.
Incydent ten wydaje się wskazywać użytkownikom, że starsze wersje Androida nie będą już bezpieczne w użyciu i że będą stale aktualizować swoje urządzenia, aby móc korzystać z najnowszych funkcji zabezpieczeń i innych funkcji. To również byłoby niepraktycznym rozwiązaniem problemu - nie każdy byłby skłonny do zmiany smartfona lub tabletu raz na kilka lat.
Jak dotąd, branża mobilna była narażona na różnego rodzaju mobilne szkodliwe oprogramowanie, które było nieco niewyszukane. Do tej pory żaden atak hakerski nie stanowił prawdziwego, poważnego zagrożenia dla użytkowników. Jednak faktem jest, że Android jest miękkim celem dla szkodliwego oprogramowania i może to być tylko kwestią czasu, zanim ktoś rozpocznie ogromny atak na istniejące luki.
- ESET Mobile Security dla systemu Android - wersja bezpłatna
Co Linux i Google planują zrobić
Na szczęście, mimo że luka istnieje, nie wykryto jeszcze ataku hakerskiego. Jednak eksperci od bezpieczeństwa będą teraz dokładniej szukać, czy ta luka została wykorzystana w przeszłości. Zespoły bezpieczeństwa Linuxa i Red Hat już pracują nad wydaniem powiązanych łatek - powinny być dostępne pod koniec tego tygodnia. Jednak pewne systemy muszą pozostać bezbronne, przynajmniej przez jakiś czas.
Google nie może udzielić natychmiastowej i ostatecznej odpowiedzi na pytanie, kiedy luka zostanie załatana w bazie kodu Androida. Ten ekosystem, będąc open source, od producentów urządzeń i programistów zależy, czy dodadzą łatę do swoich klientów. W międzyczasie Google, jak zawsze, będzie nadal wydawać comiesięczne aktualizacje i poprawki błędów dla swojej linii urządzeń z Androidem. Gigant zamierza wspierać każdy ze swoich modeli przez co najmniej 2 lata od daty pierwszej sprzedaży w swoim sklepie internetowym.
- Android OS vs. Apple iOS - co jest lepsze dla programistów?
