গুগল তৃতীয় পক্ষের অ্যান্ড্রয়েড ডিভাইসে দুর্বলতা প্রকাশ করবে

গুগল উপস্থাপন উদ্যোগ অ্যান্ড্রয়েড পার্টনার দুর্বলতা, যা বিভিন্ন OEM নির্মাতাদের থেকে Android ডিভাইসে দুর্বলতার তথ্য প্রকাশ করার পরিকল্পনা করছে৷ উদ্যোগটি তৃতীয় পক্ষের নির্মাতাদের থেকে পরিবর্তনের সাথে ফার্মওয়্যারের নির্দিষ্ট দুর্বলতা সম্পর্কে ব্যবহারকারীদের কাছে এটিকে আরও স্বচ্ছ করে তুলবে।

এখন অবধি, অফিসিয়াল দুর্বলতা রিপোর্ট (Android সিকিউরিটি বুলেটিন) শুধুমাত্র AOSP রিপোজিটরিতে দেওয়া মূল কোডের সমস্যাগুলিকে প্রতিফলিত করেছে, কিন্তু OEMs থেকে পরিবর্তনের জন্য নির্দিষ্ট বিষয়গুলিকে বিবেচনায় নেয়নি৷ ইতিমধ্যেই প্রকাশিত সমস্যাগুলি ZTE, Meizu, Vivo, OPPO, Digitime, Transsion এবং Huawei এর মতো নির্মাতাদের প্রভাবিত করে৷

চিহ্নিত সমস্যাগুলির মধ্যে:

• ডিজিটাইম ডিভাইসে, OTA আপডেট ইনস্টলেশন পরিষেবা API অ্যাক্সেস করার জন্য অতিরিক্ত অনুমতি পরীক্ষা করার পরিবর্তে আমরা ব্যবহার করেছি একটি হার্ডকোড করা পাসওয়ার্ড যা একজন আক্রমণকারীকে শান্তভাবে APK প্যাকেজ ইনস্টল করতে এবং অ্যাপ্লিকেশনের অনুমতি পরিবর্তন করতে দেয়।
• কিছু OEM-এর সাথে জনপ্রিয় একটি বিকল্প ব্রাউজারে ফিনিক্স পাসওয়ার্ড ম্যানেজার বাস্তবায়িত হয়েছিল জাভাস্ক্রিপ্ট কোড আকারে যা প্রতিটি পৃষ্ঠার প্রসঙ্গে চলে। আক্রমণকারী দ্বারা নিয়ন্ত্রিত একটি সাইট ব্যবহারকারীর পাসওয়ার্ড সঞ্চয়স্থানে সম্পূর্ণ অ্যাক্সেস পেতে পারে, যা অবিশ্বস্ত ডিইএস অ্যালগরিদম এবং একটি হার্ড-কোডেড কী ব্যবহার করে এনক্রিপ্ট করা হয়েছিল।
• Meizu ডিভাইসে সিস্টেম UI অ্যাপ্লিকেশন লোড এনক্রিপশন এবং সংযোগ যাচাই ছাড়াই নেটওয়ার্ক থেকে অতিরিক্ত কোড। শিকারের HTTP ট্র্যাফিক নিরীক্ষণ করে, আক্রমণকারী অ্যাপ্লিকেশনের প্রসঙ্গে তার কোড চালাতে পারে।
• ভিভো ডিভাইস ছিল পুনরায় করা প্যাকেজম্যানেজারসার্ভিস ক্লাসের checkUidPermission পদ্ধতি কিছু অ্যাপ্লিকেশনকে অতিরিক্ত অনুমতি প্রদান করতে, এমনকি যদি এই অনুমতিগুলি ম্যানিফেস্ট ফাইলে নির্দিষ্ট করা না থাকে। একটি সংস্করণে, পদ্ধতিটি com.google.uid.shared শনাক্তকারীর সাথে অ্যাপ্লিকেশনগুলিকে যেকোন অনুমতি দিয়েছে৷ অন্য সংস্করণে, প্যাকেজের নাম অনুমতি দেওয়ার জন্য একটি তালিকার বিপরীতে চেক করা হয়েছিল।

উত্স: opennet.ru