Android操作系統(tǒng)中的漏洞可用于在用戶不知情的情況下跟蹤用戶。

undefined播放聲音

本文最初出現(xiàn)在ZDNet上。

谷歌Android操作系統(tǒng)中發(fā)現(xiàn)了一個漏洞，可能允許網(wǎng)絡(luò)攻擊者秘密捕獲Wi-Fi廣播數(shù)據(jù)以跟蹤用戶。

周三，來自Nightwatch Cyber??security的研究人員在一份安全公告中表示，該錯誤CVE-2018-9489是在操作系統(tǒng)的通信管理編程中發(fā)現(xiàn)的。

Nightwatch Cyber??security研究員Yakov Shafranovich表示，Android設(shè)備將有關(guān)用戶設(shè)備的信息廣播給系統(tǒng)上運(yùn)行的應(yīng)用程序。此信息可包括Wi-Fi網(wǎng)絡(luò)名稱，BSSID，本地IP地址，DNS服務(wù)器數(shù)據(jù)和MAC地址 - 盡管后者已在Android版本6及更高版本中通過API隱藏。

Cryptojacking是過去兩年中對網(wǎng)絡(luò)安全的最新和最有利可圖的威脅之一。這些攻擊易于執(zhí)行且難以檢測，涉及網(wǎng)絡(luò)犯罪分子控制第三方設(shè)備的CPU以挖掘有價(jià)值的......

白皮書由熊貓安全提供

通過收聽這些數(shù)據(jù)流，應(yīng)用程序可以捕獲信息，通常用于合法目的。

但是，當(dāng)流氓應(yīng)用程序被竊聽時(shí)，這可能會導(dǎo)致敏感的信息泄露，攻擊者可能會攻擊本地Wi-Fi網(wǎng)絡(luò)或使用MAC地址來跟蹤獨(dú)特的Android設(shè)備。

通過使用數(shù)據(jù)庫查找，還可以通過網(wǎng)絡(luò)名稱和BSSID對用戶進(jìn)行地理標(biāo)記。

“雖然存在限制允許誰閱讀此類消息的功能，但應(yīng)用程序開發(fā)人員往往忽略了正確實(shí)施這些限制或掩蓋敏感數(shù)據(jù)，”研究人員說。“這導(dǎo)致了Android應(yīng)用程序中的一個常見漏洞，即在同一設(shè)備上運(yùn)行的惡意應(yīng)用程序可以監(jiān)視并捕獲其他應(yīng)用程序正在廣播的消息。”

Android使用“意圖”來處理進(jìn)程間信息以及許多權(quán)限，作為防范竊聽或數(shù)據(jù)泄漏的保護(hù)措施。

操作系統(tǒng)利用兩種意圖在系統(tǒng)范圍內(nèi)廣播信息。意圖是WifiManager的“網(wǎng)絡(luò)狀態(tài)改變動作”和WifiP2pManager的“Wi-Fi P2P這個設(shè)備改變了動作”。

應(yīng)用程序可以在用戶設(shè)備上訪問此信息，當(dāng)通過WifiManager訪問時(shí)，通常需要“訪問Wifi狀態(tài)”權(quán)限。訪問地理位置數(shù)據(jù)通常需要“訪問精確位置”或“訪問粗略位置”權(quán)限。

參見：網(wǎng)絡(luò)安全策略模板（Tech Pro Research）

但是，當(dāng)應(yīng)用程序只是監(jiān)聽系統(tǒng)廣播時(shí)，會繞過所需的權(quán)限，這可能允許惡意和惡意應(yīng)用程序在用戶不知情的情況下捕獲此數(shù)據(jù)。

“因?yàn)镸AC地址不會改變并且與硬件相關(guān)聯(lián)，所以即使使用MAC地址隨機(jī)化，這也可用于唯一識別和跟蹤任何Android設(shè)備，”Shafranovich說。“網(wǎng)絡(luò)名稱和/或BSSID可用于通過查找WiGLE或SkyHook等數(shù)據(jù)庫來對用戶進(jìn)行地理定位。”

該團(tuán)隊(duì)測試了各種Android設(shè)備，所有這些設(shè)備都表現(xiàn)出相同的行為。但是，在某些情況下，真實(shí)MAC地址未顯示在“網(wǎng)絡(luò)狀態(tài)已更改操作”中，意圖，但可通過“Wi-Fi P2P此設(shè)備更改操作”，意圖。

包括操作系統(tǒng)分支在內(nèi)的所有Android版本(例如亞馬遜的Kindle FireOS)都被認(rèn)為會受到影響，可能會影響數(shù)百萬用戶。

該網(wǎng)絡(luò)安全公司最初在3月向谷歌報(bào)告了其調(diào)查結(jié)果。經(jīng)過幾個月的調(diào)查，該漏洞被分配了一個CVE號碼，谷歌在7月份制定了修復(fù)程序。

該補(bǔ)丁在8月初得到確認(rèn)，導(dǎo)致公開披露該漏洞。

谷歌已經(jīng)修復(fù)了最新版Android操作系統(tǒng)Android P的安全漏洞，Android P也稱為Android 9 Pie。

然而，根據(jù)網(wǎng)絡(luò)安全公司的說法，該技術(shù)巨頭不會修復(fù)Android的先前版本，因?yàn)榻鉀Q漏洞“將是一個破壞性的API變化”。

本月早些時(shí)候，谷歌宣布推出Android 9 Pie，這款產(chǎn)品已經(jīng)在某些設(shè)備上向Android用戶推出。

由諾基亞，小米和索尼等廠商生產(chǎn)的Android設(shè)備將在秋季末收到更新的操作系統(tǒng)。此更新包括新的手勢導(dǎo)航，主題和屏幕亮度和電池壽命的自適應(yīng)設(shè)置等。

我們鼓勵能夠升級到Android 9的用戶這樣做。

ZDNet已通過其他查詢與Google聯(lián)系，如果我們收到回復(fù)，我們會更新。