TIETOTURVA
Henri Laakso, MikroPC, 27.7.2012, 10:43Android- ja MeeGo-puhelimet voi kaapata nfc-lähitunnistuksen avulla
Arvostettu hakkeri Charlie Miller on esitellyt, miten nfc-lähitunnistuksen avulla pystyy pakottamaan Android- tai MeeGo-puhelimen menemään haitalliselle verkkosivustolle ja lataamaan haittaohjelmia, kirjoittaa uutissivu Ars Technica.
Miller esitteli nfc-hyökkäystä tällä viikolla Yhdysvalloissa Black Hat -hakkerikonferenssissa. Hyökkäys hyödyntää useita heikkouksia nfc-standardin turvallisuudessa.
Tekniikan avulla hyökkääjä pystyy hallitsemaan muun muassa Samsungin ja Nokian nfc-älypuhelimia laittamalla oman nfc-laitteensa muutaman sentin etäisyydelle uhrin puhelimesta.
Hyökkääjän nfc-laitteessa oleva koodi suuntautuu uhrin puhelimeen langattomasti ja pakottaa puhelimen avaamaan haitallisia tiedostoja ja sivuja, jotka hyödyntävät MeeGon ja Androidin haavoittuvuuksia.
Hyökkäys käynnistyy yksinkertaisesti kävelemällä uhrin lähelle
Miller kertoo konferenssissa Ars Technican mukaan, että hyökkäyksen pystyy tekemään uhrin puhelimeen yksinkertaisesti kävelemällä lähelle uhria.
”Kun pääsen uhrin lähelle, hänen puhelimensa selain avautuu itsekseen ja menee sivulle, jonka olen määrittänyt”, Miller jatkaa.
Miller kertoo hyökkäyksen kohdistuvan nfc:n sijaan käyttöjärjestelmän selaimeen ja siihen mitä selaimella pystyy tekemään. Nfc:tä käytetään vain selaimen hyödyntämiseen.
Hakkeri löysi tutkiessaan lähitunnistustekniikkaa Androidin nfc-pohjaisen Beam -tiedostonjakosovelluksen hyväksyvän passiivisesti tiedostojen lataukset ja nettisivujen linkit. Kaikki tämä tapahtuu puhelimessa ilman käyttäjän suostumusta.
Nfc oletuksena käytössä Androidissa – N9:ssä ei
Miller huomauttaa myös, että Androidissa nfc-lähitunnistus on oletuksena käytössä. Toisin sanoen monet käyttäjät voivatkin altistua huomaamattaan hyökkäyksille. Nokian N9:ssä nfc ei ole oletuksena käytössä.
Mutta vaikka N9-käyttäjät muuttaisivat oletusasetuksensa nfc:ssä niin, että he saisivat aina ilmoituksen nfc-pyynnöistä, hyväksyisi puhelin silti muiden käyttäjien aloittamat tiedoston siirrot, ilman uhrin lupaa.
Jotta Millerin hyökkäystapa onnistuu, pitää uhrin puhelimen näytön olla aktiivinen ja myös lukitsematon. Nämä edellytykset tarjoavat edes vähän suojaa nfc-hyökkäyksiltä.
Google ei ole kommentoinut asiaa, mutta Nokia on antanut Ars Technicalle tiedotteen koskien nfc-hyökkäyksiä. Yhtiö kirjoittaa tiedotteessaan olevan tietoinen Millerin nfc-tutkimuksesta ja aktiivisesti tutkivansa väitteitä N9:n turvallisuudesta.
Heitetäänpä kysymys teknisestä näkökulmasta; Miksi MS luuria ei voi kaapata nfc-tunnistuksen avulla? Onko tähän jollakulla vastaus?
Tämä suomenkielinen juttuhan on melko suuripiirteinen selostus englanninkielisestä Ars Technican artikkelista (http://arstechnica.com/security/2012/07/android-nokia-smartphone-hack/), joka sinänsä jo ehkä vähän maalailee piruja seinille. Käytännössä kaikkein hankalinta testissä kuulemma oli löytää sellainen laite- ja ohjelmistoyhdistelmä, jossa NFC:stä oikeasti muodostui tietoturvauhka. Lähitunnistukseen yhdistettäviä haavoittuvuuksia mainitaan löytyneen erityisesti Androidin vanhasta versiosta 2.3 (Gingerbread), mutta se ei kai ole koskaan ollutkaan käytössä NFC:tä tukevissa puhelinmalleissa. Uudemmissa Androideissa kyseisiä haavoittuvuuksia puolestaan ei enää ilmennyt.
Epäilemättä uudemmissa järjestelmissä on sen sijaan muita haavoittuvuuksia, joten tietoturvapäivityksistä huolehtiminen on tärkeää, mutta sama pätee kaikkiin järjestelmiin ja ohjelmistoihin lähdekoodin avoimuudesta riippumatta.
Ongelmaksihan tuokin tietoturvaongelma muodostuu android-kapuloitten haltijoille - niihin kun ei moneenkaan tule tietoturva-aukkojen päivityksiä laitevalmistajalta. Korjaukset voi saada, jos saa, vain harrastajien tekemistä epävirallisista päivitysversioista, joiden asentamisessa tavallisilla käyttäjillä on omat mutkansa matkassa - ja niiden epävirallisten versioiden muusta puolesta ei taas kukaan mene takuuseen. Eli ainakaan yritysmaailmaan ne eivät missään nimessä käy. Linux-androidissa unohdettiin täysin avoimelle lähdekoodille erityisen kriittinen päivitysten saaminen _kaikkiin_ linux-androidia käyttäviin laitteisiin. Nyt päivitykset tuossa vaihtoehdossa toimivat vain osaan ja käyttäjät ovat oman onnensa armoilla android-laitteilla, joissa on paikkaamattomia aukkoja ja joita rikolliset tahot voivat käyttää.
Ilmoituksesi käsitellään seuraavan työpäivän kuluessa.