Aplikacja Airdroid podatna na ataki typu „człowiek w środku” [aktualizacja: poprawiona i ulepszona]

Aktualizacja, 9 grudnia: Betty Chen, CMO AirDroid, skontaktowała się z Android Central z najnowszymi pracami zespołu nad usunięciem tej luki. Zobacz odpowiedź poniżej:

Właśnie zakończyliśmy wdrażanie etapowe AirDroid (Mobile 4.0.0.3; Mac / Win 3.3.5.3) w sklepie Google Play, teraz jest on dostępny dla wszystkich użytkowników. W tej aktualizacji poprawiliśmy nasz mechanizm szyfrowania zgodnie z planem i naprawiliśmy problem dotyczący niedawnych obaw dotyczących bezpieczeństwa AirDroid.

Problem został rozwiązany w aktualizacji.

Wraz z innymi poprawkami bezpieczeństwa zaktualizowaliśmy kanały komunikacji do https i ulepszyliśmy metodę szyfrowania.

Ze względu na wieloplatformowy charakter AirDroid, zaprojektowanie niestandardowego rozwiązania i podniesienie poziomu bezpieczeństwa we wszystkich aspektach zajęło nam trochę czasu. Wprowadziliśmy system kodowania restrukturyzacji w AirDroid4.0 i AirDroid 4.0.0.1, aby upewnić się, że zgodność działa dobrze na różnych platformach pod koniec listopada. Po dokładnej ocenie zaczęliśmy wdrażać tę aktualizację częściowo na początku tego miesiąca wśród klientów, aby zapewnić sprawną komunikację. Teraz możemy w końcu wydać tę aktualizację w pełni, aby naprawić podniesiony problem, a także zapewnić lepszą ochronę naszych użytkowników.

Badania przeprowadzone przez firmę ochroniarską Zimperium wykazały, że popularna aplikacja do zdalnego zarządzania AirDroid jest podatna na tak zwane ataki typu „człowiek i środek”, pozostawiając telefony użytkowników otwarte na kradzież danych lub, w najgorszym przypadku, na uszkodzenie urządzenia przez przejęcie aktualizować plik.

Według Zimperium osoba atakująca w tej samej sieci co zamierzona ofiara może przechwycić dane uwierzytelniające i podszyć się pod użytkownika, umożliwiając ujawnienie danych osobowych - takich jak SMS, połączenia, powiadomienia lub dane kontaktowe.

Co najważniejsze, mechanizm, za pomocą którego aplikacja jest aktualizowana, może być również przejęty w ten sam sposób, narażając użytkowników AirDroid na narażenie całego urządzenia na szkodliwy plik APK. Firma bezpieczeństwa ma na swojej stronie pełny dowód koncepcji wraz ze szczegółami ujawnienia luk w zabezpieczeniach programisty Sand Studio, począwszy od maja 2016 r.

Zimperium twierdzi, że niedawno wydane AirDroid 4.0.0 i 4.0.1 są podatne na tę samą lukę. Skontaktowaliśmy się z Sand Studio w sprawie komentarza i zaktualizujemy ten post z każdą odpowiedzią. W międzyczasie, jeśli jesteś wrażliwym na bezpieczeństwo użytkownikiem AirDroid, możesz pomyśleć o odinstalowaniu, dopóki nie będzie dostępna poprawka.

Tutaj możesz pobrać najnowszą wersję AirDroid na urządzenie z Androidem. Najnowszą wersję aplikacji komputerowej można pobrać ze strony internetowej AirDroid. Jeśli często korzystasz z AirDroid, zdecydowanie chcesz pobrać te krytyczne aktualizacje tak szybko, jak to możliwe.