Black Hat konferansı bu hafta Las Vegas'ta gerçekleşti ve bilgisayar korsanları, güvenlik uzmanları ve büyük şirketlerin temsilcileri bilgi güvenliği ile ilgili her şeyi görüşmek üzere bir araya geldi. Bugün konferanstan çıkan haberleri takip ediyorsanız, kötü amaçlı bir NFC (yakın alan iletişimi) etiketinin kötü amaçlı yazılım iletmesine izin verebilecek Android'de (ve NFC özellikli Meego telefonlarda) yeni bir güvenlik açığı raporuyla karşılaşmış olabilirsiniz. doğrudan telefonunuza. Kulağa korkunç geliyor, değil mi? Artık hackerlar, hiçbir şey yapmadan bile akıllı telefonunuzu ele geçirebilirler. Ancak bu tür güvenlik konularında her zaman olduğu gibi, göründüğü kadar kolay değildir. Ve bu NFC 'kesmek', seksi ve teknik olarak etkileyici, normal akıllı telefon kullanıcıları için özellikle korkutucu bir şey değil.
Nedenini bulmak için okumaya devam edin.
Öncelikle, NFC'nin gerçekte ne olduğunu hızla açıklamalıyız. Yakın alan iletişimi anlamına gelir ve çok kısa mesafelerde anında küçük miktarlarda veri göndermek için tasarlanmış çok kısa mesafeli bir kablosuz iletişim teknolojisidir. Akıllı telefonlarda, bu, URL'ler gibi şeyleri bir el cihazından diğerine aktarmak veya alternatif olarak, telefonun üzerinde etkili olabileceği az miktarda veri içerebilen NFC "etiketlerini" taramak için kullanılabilir. Ayrıca, ödemeleri kolaylaştırmak için de kullanılabilir, örneğin Google Cüzdan üzerinden. (Android A'dan Z'ye)
Çeşitli kaynaklar, güvenlik araştırmacısı Charlie Miller'ın bu hafta Black Hat'taki Nexus S (Zencefilli Kurabiye), Galaxy Nexus (Dondurmalı Sandviçli) ve Meego destekli Nokia N9 ile ilgili çeşitli teknikler sergilediğini bildirdi. En korkunç istismarların çoğu N9'da bulundu, ancak burada Android'e odaklanacağız, çünkü yaptığımız şey bu. (Ayrıca bugünün başlıklarının çoğunun odaklandığı şey de budur.)
Zirveden başlayarak, Galaxy Nexus Miller, Ice Cream Sandwich veya daha sonra çalışan NFC özellikli Android telefonların bazılarının varsayılan olarak açılmayan bir özelliği olan Android Beam'i kullandığını gösterdi. Diğer şeylerin yanı sıra, Beam kullanıcıların URL'leri başka bir telefondan veya NFC etiketinden doğrudan cihazın web tarayıcısına yüklemelerine izin verir. Bu, kötü niyetli bir NFC etiketiyle alçakgönüllü bir kullanıcıyı doğrudan kötü amaçlı bir web sayfasına göndermenin mümkün olduğu anlamına gelir. Bununla birlikte, çalışması için, etiketin NFC telsizlerinin çalışabileceği çok kısa bir aralıkta olması gerekir - temel olarak tümü cihazın arkasına dokunmaktan ibarettir. Android Beam, etiketli URL'leri tasarım gereği herhangi bir istem olmadan otomatik olarak açar. Bu geçerli bir güvenlik konusudur, ancak kullanıcının tercih ettiği web tarayıcısında bir güvenlik açığı bulmak için ihtiyacınız olan her şeyi yapmak için olduğu gibi geleneksel anlamda bir istismar değildir.
Android 4.0.1'de yerleşik Android tarayıcısını kullanıyorsanız, böyle bir hata var ve bu özel olarak tasarlanmış bir web sayfasının cihazda kod çalıştırmasına izin verebilir. Yine, tamamen geçerli bir güvenlik sorunu, ancak NFC'yi bu tür bir istismar için bir dağıtım yöntemi olarak kullanmak pratik olmaktan uzak. Android 4.0.1’den bahsetmiyorum bile, yalnızca operatörünüze bağlı olarak Android 4.0.4 veya 4.1.1’e güncellenmiş olan bir telefon olan Galaxy Nexus’te yayınlandı.
Miller ayrıca, NFC destekli bir Gingerbread cihazının kötü amaçlı bir etiket kullanarak kod yürütmesine neden olmak için Android 2.3'ün bellek yönetimindeki hataları nasıl kullanabileceğini de gösterdi. Bu, potansiyel olarak bir saldırgana yalnızca NFC etiketi kullanarak cihazın kontrolünü tamamen ele geçirme yeteneği verir, ancak bunu düşünebileceğiniz daha az ciddi bir sorun haline getiren birkaç faktöre dikkat çekmeliyiz. Elbette, Android 2.3 Gingerbread, hala Android'in en çok kullanılan sürümüdür ve birçok yeni Android cihazı NFC desteğiyle birlikte gelir, ancak ikisi arasında çok az geçiş vardır. Nexus S, NFC'yi destekleyen ilk Android telefon cihazıydı, ancak o zamandan beri Jelly Bean'e güncellendi. Diğer NFC destekli cihazlar 2.3'te gönderildi, ancak NFC'li ana akım Android telefonların çoğu, bu demoda kullanılan istismarlara açık olmayan en az 4.0.3 sürümünü kullanıyor. Aslında, henüz en azından Android 4.0.3 ile güncellenmemiş NFC'li tek bir Gingerbread telefonu düşünemiyoruz.
Bu nedenle, güvenlik açıkları kesinlikle var, ancak şu anda yalnızca ciddi olanlar, NFC'li Android popülasyonunun çok küçük bir alt kümesi ve çok özel bir işletim sistemi sürümü ile sınırlı. Dahası, telefonun açık olması, NFC radyonun etkinleştirilmesi ve kullanıcının NFC'nin tonunu veya titreşimini söyleyemeyecek kadar dikkatini dağıtması gerekiyor.
Sonuçta, saldırıya uğrayan cihaza fiziksel olarak erişilebilecek herhangi bir istismar, gerçek kötü adamlar için sınırlı kullanımda olacaktır. Gerçek dünyada NFC üzerindeki bir akıllı telefonun kontrolünü eline almak, Black Hat'ta gösterilen yöntemlerin yayınlanmasından sonra bile, tehlikeli olamayacak kadar tehlikeli olacak. Telefonunuza erişebilirsem, uzun süre açık bırakılmışsa, kötü niyetli bir niyetle, NFC ilk arama limanım olmayacak. Charlie Miller'ın bu hafta gösterdiği istismarlar ustaca ve inkar edilemez bir şekilde okumak için harika. Ancak, özellikle bu saldırıların ana raporları önemli teknik detaylara ışık tuttuğunda, ortaya koydukları gerçek tehlikeyi abartmak kolaydır.
Alt satır - Eğer zaman zaman Android telefonunuzda NFC kullanmaktan hoşlanıyorsanız, tam da bunu yapmaya devam etmeniz güvenlidir.
Daha fazla: Arc Technica
