Tai iš tikrųjų šiek tiek blogiau, nei skamba. Daugiausia žiniasklaidos dėmesys buvo skiriamas MMS atakos būdui, tačiau netgi MP4 vaizdo įrašai, įterpti į tinklalapius ar programas, gali pakenkti jūsų telefonui ar planšetiniam kompiuteriui.
Kodėl Stagefright trūkumas yra pavojingas - tai ne tik MMS
Kai kurie komentatoriai šį užpuolimą pavadino "Stagefright", bet tai iš tikrųjų yra "Android" vardu "Stagefright" komponento išpuolis. Tai "Android" daugialypės terpės grotuvo komponentas. Jis turi pažeidžiamumą, kurį galima išnaudoti - pavojingiausia per MMS, tai yra tekstinė žinutė su įterptais daugialypės terpės komponentais.
Daugelis "Android" telefonų gamintojų netinkamai pasirinko "Stagefright" sistemos leidimus, kurie yra vienas žingsnis prie prieigos prie šaknies. "Stagefright" išnaudojimas leidžia užpuolėjui paleisti arbiterinį kodą su "žiniasklaidos" arba "sistemos" leidimais, priklausomai nuo to, kaip įrenginys yra sukonfigūruotas. Sistemos teisės suteiktų prieglobstui iš esmės užbaigtą priėjimą prie savo įrenginio. "Zimperium", organizacija, kuri aptiko ir pranešė apie problemą, siūlo daugiau informacijos.
Tipiškos "Android" teksto pranešimų programos automatiškai gauna įeinančius MMS pranešimus. Tai reiškia, kad jus gali pakenkti tik kažkas, siunčiantis jums pranešimą per telefono tinklą. Jei jūsų telefone pažeista, širdys, naudojantis šią pažeidžiamumą, galėtų perskaityti jūsų kontaktus ir siųsti piktybiškus MMS pranešimus savo adresatams, o 1999 m., Kaip "Melissa" virusas, "Outlook" ir el.
Pradinės ataskaitos buvo sutelktos į MMS, nes tai buvo potencialiai pavojingiausias vektorius "Stagefright". Bet tai ne tik MMS. Kaip pabrėžė "Trend Micro", šis pažeidžiamumas yra "mediaserver" komponentas, o kenkėjiškas MP4 failas, įterptas į tinklalapį, gali jį išnaudoti - taip, tiesiog naršydamasis į savo žiniatinklio naršyklės tinklalapį. MP4 failas, įterptas programoje, kuri nori išnaudoti jūsų įrenginį, gali padaryti tą patį.
Ar jūsų smartphone ar tabletė yra pažeidžiami?
Jūsų "Android" įrenginys tikriausiai yra pažeidžiamas. Devyniasdešimt penki procentai "Android" įrenginio lauke yra pažeidžiami "Stagefright".
Norėdami įsitikinti, įdiekite "Stagefright" detektoriaus programą iš "Google Play". Šią programą sukūrė "Zimperium", kuri atrado ir pranešė apie "Stagefright" pažeidžiamumą. Ji patikrins jūsų įrenginį ir pasakys, ar "Stagefright" buvo pakeistas "Android" telefone, ar ne.
Kaip išvengti "Stagefright" atakų, jei esate pažeidžiamas
Kiek mes žinome, "Android" antivirusinės programos nesaugos nuo "Stagefright" išpuolių. Jie nebūtinai turi pakankamai sistemos leidimų užsirašyti MMS pranešimus ir kištis į sistemos komponentus. "Google" taip pat negali atnaujinti "Google Play" paslaugų komponento "Android", kad išspręstų šią klaidą. "Google" dažnai naudojamas netvarkingas sprendimas, kai atsiranda saugumo spragų.
Jei norite tikrai apsisaugoti nuo sau pavojaus, jums reikės užkirsti kelią jūsų pasirinktai pranešimų programai atsisiųsti ir paleisti MMS žinutes. Apskritai tai reiškia išjungti "MMS automatinio išieškojimo" nustatymą jo nustatymuose. Kai gausite MMS žinutę, jis nebus automatiškai atsisiunčiamas - jį turėsite atsisiųsti, paliesdami užrašymo vietą ar kažką panašaus. Jums nebus pavojus, nebent pasirinksite atsisiųsti MMS.
Jūs neturėtumėte tai padaryti. Jei MMS yra iš asmens, kurio jūs nežinote, tikrai jį ignoruok. Jei MMS yra iš draugo, būtų įmanoma, kad jų telefonas būtų pažeistas, jei širdys pradeda kilti. Saugiausia niekada atsisiųsti MMS žinutes, jei jūsų telefonas yra pažeidžiamas.
Norėdami išjungti MMS siuntimo automatinį išieškojimą, atlikite atitinkamus pranešimų siuntimo programos veiksmus.
- Pranešimų siuntimas ("Android"): atidarykite "Messaging", palieskite meniu mygtuką ir palieskite "Settings". Slinkite žemyn į skiltį "Daugialypės terpės (MMS) pranešimai" ir atžymėkite "Automatinis gavimas".
- Messenger ("Google"): atidarykite "Messenger", palieskite meniu, palieskite "Settings", bakstelėkite "Advanced" ir išjunkite "Auto-retrieve".
- " Hangout" ("Google"): atidarykite "Hangout", palieskite meniu ir pereikite prie "Nustatymai"> "SMS". Išvalykite žymę "Automatinis SMS gavimas", esančio "Išplėstinė". (Jei čia nematote SMS parinkčių, jūsų telefonas nenaudoja "Hangout" SMS pranešimams. Išjunkite nustatymą naudojamoje SMS programoje.)
- Žinutės (Samsung): atidarykite pranešimus ir pereikite prie Daugiau> Nustatymai> Daugiau nustatymų. Bakstelėkite Daugialypės terpės pranešimai ir išjunkite parinktį "Automatinis gavimas". Šis nustatymas gali būti skirtingose vietose skirtinguose "Samsung" įrenginiuose, kuriuose naudojamos skirtingos "Messages" programos versijos.
Čia neįmanoma sukurti pilno sąrašo. Tiesiog atidarykite programą, kurią naudojate siųsti SMS žinutes (tekstinius pranešimus) ir ieškokite parinkties, kuri išjungs MMS žinučių "automatiškai" arba "automatinį atsisiuntimą".
Įspėjimas: Jei pasirinksite atsisiųsti MMS pranešimą, vis tiek esate pažeidžiamas.Kadangi "Stagefright" pažeidžiamumas yra ne tik MMS žinučių problema, tai ne visada apsaugo jus nuo visų tipų atakos.
Kada jūsų telefonas gauna pataisą?
Užuot bandę išspręsti klaidą, būtų lengviau, jei jūsų telefone būtų gauta atnaujinta programa, kuri ją ištaisė. Deja, "Android" naujinimo situacija šiuo metu yra košmaras. Jei turite naujausią pavyzdinį telefoną, tikriausiai galite tikėtis atnaujinimo tam tikru metu - tikiuosi. Jei turite senesnį telefoną, ypač žemesnio lygio telefoną, yra didelė tikimybė, kad jūs niekada negausite naujinimo.
- " Nexus" įrenginiai: "Google" dabar išleido "Nexus 4", "Nexus 5", "Nexus 6", "Nexus 7" (2013 m.), "Nexus 9" ir "Nexus 10" atnaujinimus. Originalus "Nexus 7" (2012), atrodo, nebėra palaikomas ir nebus pataisytas
- " Samsung": "Sprint" pradėjo stumti "Galaxy S5", "S6", "S6 Edge" ir "Note Edge" atnaujinimus. Neaišku, kada kiti vežėjai stumia šiuos atnaujinimus.
"Google" taip pat pranešė "Ars Technica", kad "populiariausi" Android "įrenginiai bus atnaujinti rugpjūtį, įskaitant:
- " Samsung": "Galaxy S3", "S4" ir 4 pastaba, be aukščiau esančių telefonų.
- HTC: Vienas "M7", vienas "M8" ir vienas "M9".
- LG: G2, G3 ir G4.
- " Sony": "Xperia Z2", "Z3", "Z4" ir "Z3 Compact".
- " Android One" "Google" palaikomi įrenginiai
"Motorola" taip pat paskelbė, kad rugpjūtį pradės naujinti savo telefonus, įskaitant "Moto X" (1-oji ir 2-oji kartos), "Moto X Pro", "Moto Maxx" / "Turbo", "Moto G" (1, 2 ir 3-ioji karta) su "4G LTE" (1-oji ir 2-oji kartos), "Moto E" (1-oji ir 2-oji kartos), "Moto E" su 4G LTE (2-oji karta), DROID Turbo ir DROID Ultra / Mini / Maxx.
"Google Nexus", "Samsung" ir "LG" visi įsipareigojo atnaujinti savo telefonus su saugos naujinimais kartą per mėnesį. Tačiau šis pažadas tik iš tikrųjų taikomas pavyzdiniams telefonams ir reikalauja, kad vežėjai bendradarbiautų. Neaišku, kaip tai gerai išspręs. Vežėjai galbūt galėtų atsisakyti šių atnaujinimų, ir tai vis dar palieka didelį skaičių - tūkstančius skirtingų modelių - naudojamų telefonų be atnaujinimo.
Arba tiesiog įdiekite CyanogenMod
"CyanogenMod" yra trečiosios šalies pasirinktinis "Android" ROM, kurį dažnai naudoja entuziastai. Tai suteikia dabartinę "Android" versiją į įrenginius, kurių gamintojai nustojo remti. Tai nėra idealus sprendimas vidutiniam asmeniui, nes jis reikalauja išlaisvinti telefono įkrovos tvarkyklę. Tačiau, jei jūsų telefonas palaikomas, galite naudoti šį triuką, kad gautumėte dabartinę "Android" versiją su dabartiniais saugos naujinimais. Tai nėra bloga idėja įdiegti "CyanogenMod", jei jūsų telefonas jo gamintojo nebėra remiamas.
"CyanogenMod" fiksuoja "Stagefright" pažeidžiamumą naktinėse versijose, o taisymas turėtų greitai paspartinti versiją naudojant OTA atnaujinimą.
"Android" turi problemų: dauguma įrenginių nesulaukia saugos naujinių
Tai tik viena iš daugybės saugumo skylių senų "Android" įrenginių, kuria, deja. Tai tik labai bloga, dėl kurios vis daugiau dėmesio. Pavyzdžiui, dauguma "Android" įrenginių - visų įrenginių, kuriuose veikia 4.3 ir senesnės versijos "Android", yra pažeidžiamas žiniatinklio naršyklės komponentas. Tai niekada nebus pataisyta, jei įrenginiai nebus atnaujinti į naujesnę "Android" versiją. Galite padėti apsisaugoti nuo jo, paleisdami "Chrome" ar "Firefox", bet ši pažeidžiama naršyklė visada bus tokiuose įrenginiuose, kol jie nebus pakeisti. Gamintojai nėra suinteresuoti, kad jie būtų atnaujinami ir prižiūrimi, todėl daugybė žmonių kreipėsi į "CyanogenMod".
"Google", "Android" įrenginių gamintojai ir "mobilieji" operatoriai turi elgtis taip, kad dabartinis atnaujinimo metodas - ar netgi neatnaujintas - "Android" įrenginiai sukuria "Android" ekosistemą, o laikui bėgant įrenginiai sukuria skyles. Dėl to "iPhone" yra saugesni nei "Android" telefonai - "iPhone" iš tikrųjų gauna saugos naujinimus. "Apple" įsipareigojo atnaujinti "iPhone" ilgiau nei "Google" (tik "Nexus" telefonuose), "Samsung" ir "LG" taip pat siekia atnaujinti savo telefonus.
Jūs tikriausiai girdėjote, kad naudojant "Windows XP" yra pavojinga, nes ji nebėra atnaujinama. XP laikui bėgant ir toliau stiprins saugumo spragas ir tampa vis labiau pažeidžiamos. Na, dauguma "Android" telefonų naudojama taip pat - jie taip pat negauna saugos naujinių.
Kai kurie išnaudoti švelninimo priemones gali padėti užkirsti kelią "Stagefright" širdysi perimti milijonus "Android" telefonų. "Google" teigia, kad ASLR ir kitos naujesnių "Android" versijų apsaugos priemonės padeda užkirsti kelią "Stagefright" atakoms, ir atrodo, kad iš dalies tai yra tiesa.
Atrodo, kad kai kurie mobiliojo ryšio operatoriai taip pat blokuoja galimai piktybišką MMS žinutę, todėl jie negali patekti į pažeidžiamus telefonus. Tai padėtų užkirsti kelią širdysi platinti per MMS žinutes bent jau vežėjams, kurie imasi veiksmų.
