كيف تخطى هواتف أندرويد إخفاء التحديثات الأمنية
Comment passer les téléphones Android masquer les mises à jour de sécurité
كافحت Google للعثور على طرق للحصول على العشرات من صانعي الهواتف الذكية في Android - ومئات مزودي الخدمات - لإصدار تحديثات البرامج التي تركز على الأمان بشكل منتظم. ولكن عندما نظرت شركة أمنية ألمانية تحت غطاء مئات من هواتف أندرويد ، وجدت صعوبة جديدة . ليس فقط أن العديد من مزودي هواتف Android يفشلون في توفير بقع متاحة لمستخدميهم أو لتأخير منشوراتهم كما يخبرون المستخدمين أحيانًا أن البرامج الثابتة الخاصة بهاتفهم حديثة تمامًا ، حتى إذا تجاهلوا الرقع بشكل سرى.
في مؤتمر الأمن في هاك إن بوكس في أمستردام ، يعتزم الباحثان كارستن نوهل وجاكوب ليل من مختبرات أبحاث الأمن تقديم نتائج سنتين من الهندسة العكسية لمئات رموز تشغيل الهاتف Android ، فحص شامل يحتوي الجهاز فعليًا على تصحيحات الأمان المدرجة في إعداداته. وجدوا ما يسمونه "فجوة التصحيحية": في كثير من الحالات ، أخبرت بعض هواتف البائعين المستخدمين أن لديهم جميع بقع الأمان في Android حتى تاريخ معين ، في حين في الواقع ، غابوا عن عشرات البقع من هذه الفترة. ترك الهواتف عرضة لمجموعة واسعة من تقنيات القرصنة المعروفة.
يقول نوهل ، وهو باحث أمني معروف ومؤسس شركة SRL ، "وجدنا أن هناك فجوة بين مطالبات التصحيح والبقع الفعلية المثبتة على أحد الأجهزة. إنها صغيرة بالنسبة لبعض الأجهزة وهامة للغاية بالنسبة للآخرين". في أسوأ الحالات ، يقول نوهل ، إن شركات الهواتف المحمولة في Android تعمدت إساءة تمثيلها عندما تم تصحيح الجهاز في آخر مرة. "في بعض الأحيان يغير هؤلاء الأشخاص التاريخ دون تثبيت أي رقع. ربما لأسباب تتعلق بالتسويق ، يقومون فقط بتعيين مستوى التصحيح إلى تاريخ تعسفي تقريبًا ، أيًا كان أفضل مظهر.
قامت شركة SRL باختبار البرامج الثابتة المكونة من 1200 هاتف ، من أكثر من 12 شركة مصنّعة للهواتف ، مقابل كل روبوت تم إصداره في عام 2017. تم تصنيع هذه الأجهزة بواسطة Google نفسها بالإضافة إلى كبرى شركات تصنيع الهواتف المحمولة مثل Samsung ، وموتورولا ، وهتك ، وأقل شهرة الشركات المملوكة الصينية مثل ZTE و TCL. وجد اختبارهم أنه بخلاف الهواتف الرائدة الخاصة بشركة Google مثل Pixel و Pixel 2 ، يزعم بائعي الهواتف من الدرجة الأولى أحيانًا أن لديهم تصميمات مثبتة افتقدوها فعليًا. وكانت مجموعة الشركات المصنّعة من الدرجة الأولى تتمتع بسجل أكثر طموحًا بكثير.
المشكلة ، كما يشير السيد نوهل ، أسوأ من حقيقة أن البائعين يفشلون ببساطة في إصلاح الأجهزة القديمة ، وهي ظاهرة شائعة. بدلاً من ذلك ، يخبرون المستخدمين بأنهم يقومون بتثبيت تصحيحات لا يقومون بها ، مما يخلق إحساسًا زائفًا بالأمان. يقول نوهل: "وجدنا العديد من البائعين الذين لم يقوموا بتثبيت حزمة واحدة ولكنهم غيروا تاريخ التحديث لعدة أشهر". "إنه خداع متعمد ، وهو ليس شائعًا جدًا."
في كثير من الأحيان ، وفقا لشركة نوهل ، فإن شركات مثل سوني أو سامسونغ سوف تفوت التصحيح أو اثنين عن طريق الصدفة. ولكن في حالات أخرى، كانت النتائج أكثر صعوبة لشرح: SRL اكتشف هاتف سامسونج، J5 عام 2016، كان صادقا تماما إبلاغ بقع المستخدم تثبيت وأنه لا يزال يفتقر، في حين زعمت J3 2016 من سامسونج أنها أطلقت كل رقعة Android في عام 2017 ، لكنها فوتت 12 منها - 2 تعتبر "حرجة" لأمن الهاتف.
وبالنظر إلى هذا النوع من التناقض الخفي ، "من المستحيل تقريباً على المستخدم أن يعرف البقع المثبتة بالفعل" ، يقول نوهل. في محاولة لحل المشكلة التصحيح الشفافية في عداد المفقودين، SRL مختبرات تنشر تحديثا لSnoopSnitch في التطبيق الروبوت التي من شأنها أن تسمح للمستخدمين التحقق من التعليمات البرمجية على هواتفهم إلى الحالة الراهنة للتحديثات الأمنية.
خليط من ممارسات التصحيح
بعد تحديد متوسط نتائج كل هاتف تم اختباره لكل بائع ، أنتجت مختبرات شركة SRL المخطط التالي ، مما أدى إلى تقسيم البائعين إلى ثلاث فئات استنادًا إلى مدى التزام مطالبات التصحيح لديهم بأمان في عام 2017 ، مع التركيز فقط على الهواتف التي تلقت حزمة تصحيح واحدة على الأقل في أكتوبر 2017 أو بعد ذلك. كانت الهواتف من كبرى شركات أندرويد بما في ذلك شياومي ونوكيا في المتوسط ما بين واحد إلى ثلاث بقع مفقودة ، وحتى الباعة الكبار مثل HTC ، وموتورولا ، و LG فُقِدوا بين ثلاثة وأربعة من البقع التي زعموا أنهم قاموا بتركيبها. لكن الشركات ذات الأداء الأقل في القائمة كانت الشركات الصينية TCL و ZTE ، وجميع هواتفها في المتوسط أكثر من أربع بقع زعموا أنهم قاموا بتركيبها ، لكنهم لم يفعلوا ذلك.
تشير شركة SRL أيضًا إلى مورّدي الشي chipات كأحد الأسباب المحتملة وراء عدم وجود بقع: في حين أن الهواتف التي تحتوي على معالجات من سامسونج لم يكن لديها سوى عدد قليل جدًا من الرقعات التي تم تخطيها بصمت ، فإن تلك التي استخدمت الرقائق من شركة MediaTek التايوانية تفتقر إلى 9.7 رقعة كبيرة في المتوسط. قد يكون ذلك في بعض الحالات ببساطة لأن الهواتف الأرخص من المرجح أن تخطي البقع ، وتميل أيضا إلى استخدام رقائق أرخص. ولكن في حالات أخرى ، يرجع السبب في ذلك إلى وجود ثغرات في رقاقات الهاتف بدلاً من نظام التشغيل الخاص به ، ويعتمد مصنع الهاتف على صانع الرقاقات لتقديم التصحيح. ونتيجة لذلك ، ترث الهواتف الأرخص ثمناً التي تستخرجها الرقائق من الموردين الأدنىين تلك البقع المفقودة من الموردين. يقول نوهل: "الدروس المستفادة هي أنه إذا ذهبت للحصول على جهاز أرخص ، فإنه ينتهي بك الأمر في جزء أقل صيانة لهذا النظام البيئي".
من المفاجئ أن نوهل يوافق على نقطة Google الرئيسية الأخرى: اختراق هواتف Android باستغلال رقعها المفقودة أصعب بكثير مما يبدو. حتى هواتف Android التي لا تحتوي على سجلات تصحيح صلبة لا تزال تستفيد من الإجراءات الأمنية الأوسع نطاقًا في Android ، مثل العشوائية في تخطيط مساحة العنوان - والتي منذ أن قام نظام Android 4.0 (Lollipop) بتخصيص موقع برنامج في الذاكرة ليجعل من الصعب على البرامج الضارة استغلال برامج أخرى أجزاء من الهاتف — ووضع الحماية ، مما يحد من وصول البرنامج الخبيث إلى باقي الجهاز.
ويعني هذا أن معظم تقنيات القرصنة ، المعروفة باسم "مآثر" ، التي يمكنها التحكم الكامل في هاتف Android مستهدف ، تتطلب الاستفادة من سلسلة من نقاط الضعف في برامج الهاتف ، وليس مجرد تصحيح واحد مفقود. يقول نوهل: "حتى إذا فاتتك بعض التصحيحات ، فمن المحتمل أنها لا تتماشى بطريقة معينة تسمح لك باستغلالها".
يستشهد نوهل بالمبدأ الأمني المتمثل في "الدفاع في العمق" - وهو أن الأمن ينفذ بفعالية أكبر في طبقات متعددة. وكل رقعة مفقودة من المحتمل أن تكون طبقة حماية أقل. يقول نويل: "يجب ألا تجعل الأمر أسهل على المهاجم من خلال ترك الخلل المفتوح الذي لا يشكل في حد ذاته مخاطرة بحد ذاتها ، بل قد يكون أحد أجزاء لغز شخص آخر". "الدفاع في العمق يعني تثبيت جميع البقع.
ليست هناك تعليقات:
إرسال تعليق