کمیته رکن چهارم – یک پژوهشگر امنیتی یک نقص امنیتی نگران کننده در اندروید لالی پاپ کشف کرده است که هرکسی را قادر می کند از رمز ورود صفحه قفل عبور کند.
به گزارش کمیته رکن چهارم،جان گوردون، تحلیل گر دفتر امنیت اطلاعات دانشگاه تگزاس، پی برده است که وقتی که نرم افزار دوربین فعال است، وارد کردن یک زنجیره طولانی از کاراکترها به ورودی رمز عبور باعث ناپایدار شدن صفحه قفل می شود به طوری که به باعث شکسته شدن آن و بازگشت به صفحه اصلی می شود.
این آسیب پذیری فقط وقتی که کاربر برای صفحه قفل دستگاه خود یک رمز عبور قرار داده باشد اتفاق می افتد و نه وقتی که یک پین یا الگو برای صفحه قفل انتخاب شود و یک هکر باید ابتدا به گوشی هوشمند دسترسی فیزیکی پیدا کند، اما وقتی این دسترسی انجام شود، سوء استفاده از این آسیب پذیری نسبتاً آسان است.
گوردون این فرآیند را اینگونه توضیح می دهد: ” چند کاراکتر را در صفحه تماس اضطراری وارد کنید، برای مثال،۱۰ asterisks. سپس دو بار بر روی کاراکترها ضربه بزنید تا آنها انتخاب شوند و بر روی دکمه کپی ضربه بزنید. بعد از آن در یک جای خالی ضربه زده و گزینه Paste را انتخاب کنید، این کاراکترها را دو برابر کنید. این عمل را تکرار کنید و تمام کاراکترها را کپی و دوباره Pasteکنید تا وقتی که کاراکترها آنقدر طولانی شوند که با دو بار ضربه زدن انتخاب نشوند. این آسیب پذیری بعد از حدود ۱۱ بار تکرار اتفاق می افتد.”
سپس به سادگی می توان با به سمت چپ کشیدن قفل و سپس ضربه زدن بر روی آیکون تنظیمات، نرم افزار دوربین را باز کرد تا این که رمز عبور فوری ظاهر شود. کاربران با Paste کردن مداوم زنجیره طولانی کاراکترها در داخل جعبه رمز عبور در نهایت باعث می شوند تا عملکرد گوشی هوشمند مختل شده و وارد صفحه اصلی گوشی شود.
آقای گوردون شرکت گوگل را از این نقص آگاه کرده و ۵۰۰ دلار از طرح پاداش های اندروید دریافت کرد. اگرچه هفته گذشته یک patch (یک برنامه ضمیمه ترمیمی) برای رفع این نقص امنیتی ” نه چندان حاد” منتشر شد، اما مسئله این است که اغلب مواقع زمان زیادی طول می کشد تا اکثریت کاربران گوشی های هوشمند از این آپدیت ها استفاده کنند.
منبع:رسانه خبری امنیت اطلاعات
