פרצה באנדרואיד זוהתה ותוקנה ביוזמת יבמ ישראל
מאת
: חיים חביב, 30.6.14
, 15:32
מומחים בקבוצתApplication Security של יבמ, שפועלת במסגרת מעבדת התוכנה של החברה בישראל, איתרו פרצת אבטחה בשירות הצפנה במערכת ההפעלה אנדרואיד, והובילו לתיקונה. הקבוצה מפתחת את AppScan, אפליקציה מובילה בתעשייה, לסריקות ובדיקות אבטחת מידע, במהלך פיתוח יישומי Web ומובייל.
צוות בראשות
רועי חי זיהה לפני כ-10 חודשים, ששירות
KeyStore, אותו מנהלת מערכת ההפעלה, שעוסק בפרטים אישיים של המשתמש, חשוף לאיום המכונה "גלישת חוצץ" (
Buffer Overflow - BO). הבעיה, שהתגלתה בקוד, יצרה מצב של פגיעות ואפשרות לגניבת סיסמאות ומידע סודי מהמכשיר הנייד ע"י פצחנים (האקרים).
עפ"י מדיניות יבמ דווחה הפרצה ראשית לאנשי האבטחה של אנדרואיד. בהמשך לדיווח פותח טלאי אבטחה מיוחד, שכלול כבר במהדורה החדשה של מערכת ההפעלה קיטקט. בשל אופי שחרור העדכונים למערכת ההפעלה וסוג הסיכונים הגלומים בפרצה, החליטו ביבמ להמתין זמן נוסף לפני מתן חשיפה ציבורית לגילוי.
אנדרואיד מספקת שירות אחסון מאובטח ומוצפן. כל משתמש באנדרואיד מקבל איזור אחסון מאובטח משלו: החומר המאוחסן מוצפן בעזרת מפתח מאסטר הנוצר באופן אקראי. האחרון גם הוא מוצפן על הדיסק, בעזרת מפתח הנגזר מסיסמת מסך הנעילה.
בגרסאות עדכניות של אנדרואיד, ניתן לבצע גיבוי חומרה למפתחות דוגמת המפתח הפרטי בפרוטוקול
RSA. כך, משמש מפתח האחסון המנוהל ברמת מערכת ההפעלה רק לצורך זיהוי המפתח המגובה על גבי החומרה. למרות תמיכת החומרה, מידע מסוים, דוגמת הרשאות הכניסה לרשת תקשורת פרטית וירטואלית (
VPN) מסוג
PPTP, עודנו מאוחסן על גבי הדיסק.
בתהליך הכתיבה וההצפנה של
KeyStore, נוצר מאגר (
Buffer) אליו יכולים לכתוב גם יישומים אחרים. כך, עלול היה גם צד שלישי, בלתי מורשה, לשלוט בשם מפתח ההצפנה שנכתב על ה-
Buffer, ולגרום ל-
Overflow, שיכול, באופן תיאורטי, לאפשר לצד השלישי להריץ קוד בתוך התהליך של
KeyStore. הפרצה עלולה להיות מנוצלת להחדרת יישום זדוני, בכפוף להתגברות המפתחים על מספר הגנות ומכשולים נוספים.
במידה והתקיפה הצליחה, ניתן בין השאר לגנוב את סיסמת הנעילה של המסך, לפענח מידע מוצפן על גבי הדיסק בעזרת מפתחות הנשלפים לצורך העבודה השוטפת ומנוהלים בזיכרון הפנימי של המערכת ולחתום בעזרת המפתח הפרטי של המשתמש על מידע שרירותי.
הפרצה שזיהו המומחים של
,IBM קיימת בגרסת אנדרואיד 4.3 (כ-10.3% מכלל המכשירים). לאחר הצגת הבעיה, שוחרר בנובמבר אשתקד עדכון תוכנה ע"י צוות האבטחה של אנדרואיד. המהדורה החדשה של מערכת ההפעלה, 4.4 (המוכרת בשם הקוד קיטקט), כבר חסינה מפני פגיעה לאיומי פרצה זו.
