অ্যান্ড্রয়েডের দুর্বলতা যা আপনাকে স্ক্রিন লক বাইপাস করতে দেয়

অ্যান্ড্রয়েড প্ল্যাটফর্মে (CVE-2022-20465) একটি দুর্বলতা চিহ্নিত করা হয়েছে, যা আপনাকে সিম কার্ড পুনরায় সাজিয়ে এবং PUK কোড প্রবেশ করে স্ক্রিন লক অক্ষম করতে দেয়৷ লকটি নিষ্ক্রিয় করার ক্ষমতা Google Pixel ডিভাইসে প্রদর্শিত হয়েছে, কিন্তু যেহেতু ফিক্সটি প্রধান অ্যান্ড্রয়েড কোডবেসকে প্রভাবিত করে, তাই সম্ভবত সমস্যাটি অন্যান্য নির্মাতাদের ফার্মওয়্যারকে প্রভাবিত করে। নভেম্বরের অ্যান্ড্রয়েড নিরাপত্তা প্যাচ রোলআউটে সমস্যাটির সমাধান করা হয়েছে। যে গবেষক সমস্যাটির প্রতি দৃষ্টি আকর্ষণ করেছিলেন তিনি Google থেকে $70 হাজার পুরস্কার পেয়েছেন।

সমস্যাটি PUK কোড (ব্যক্তিগত আনব্লকিং কী) প্রবেশ করার পরে ভুল আনলকিং প্রক্রিয়াকরণের কারণে ঘটে, যা বারবার ভুলভাবে পিন কোড প্রবেশ করার পরে ব্লক করা একটি সিম কার্ডের অপারেশন পুনরায় শুরু করতে ব্যবহৃত হয়। স্ক্রিন লক অক্ষম করতে, শুধু আপনার ফোনে আপনার সিম কার্ড ইনস্টল করুন, যাতে পিন কোড সুরক্ষা রয়েছে৷ একটি পিন কোড দ্বারা সুরক্ষিত একটি সিম কার্ড পরিবর্তন করার পরে, একটি পিন কোড অনুরোধ প্রথমে স্ক্রিনে প্রদর্শিত হয়৷ আপনি যদি তিনবার ভুলভাবে PIN কোড প্রবেশ করেন, তাহলে SIM কার্ডটি ব্লক হয়ে যাবে, তারপরে আপনাকে এটি আনলক করতে PUK কোড প্রবেশ করার সুযোগ দেওয়া হবে। এটি প্রমাণিত হয়েছে যে সঠিকভাবে PUK কোড প্রবেশ করানো শুধুমাত্র সিম কার্ডটি আনলক করে না, তবে প্রধান পাসওয়ার্ড বা প্যাটার্ন ব্যবহার করে অ্যাক্সেস নিশ্চিত না করেই স্ক্রিন সেভারকে বাইপাস করে মূল ইন্টারফেসে একটি রূপান্তর ঘটায়।

KeyguardSimPukViewController হ্যান্ডলারে PUK কোড চেক করার যুক্তিতে একটি ত্রুটির কারণে দুর্বলতা সৃষ্টি হয়, যা অতিরিক্ত প্রমাণীকরণ স্ক্রীন প্রদর্শনের জন্য দায়ী। অ্যান্ড্রয়েড বিভিন্ন ধরনের প্রমাণীকরণ স্ক্রীন ব্যবহার করে (পিন, PUK, পাসওয়ার্ড, প্যাটার্ন, বায়োমেট্রিক প্রমাণীকরণের জন্য) এবং এই স্ক্রীনগুলিকে ক্রমানুসারে বলা হয় যখন একাধিক চেক করা প্রয়োজন, উদাহরণস্বরূপ, যখন একটি পিন এবং প্যাটার্ন প্রয়োজন হয়।

আপনি যদি সঠিকভাবে পিন কোডটি প্রবেশ করেন, তাহলে যাচাইকরণের দ্বিতীয় ধাপটি ট্রিগার হয়, যার জন্য আপনাকে প্রধান আনলক কোডটি প্রবেশ করাতে হবে, কিন্তু আপনি যখন PUK কোডটি প্রবেশ করেন, তখন এই পর্যায়টি এড়িয়ে যায় এবং মূল পাসওয়ার্ড বা প্যাটার্ন কী না জিজ্ঞাসা না করেই অ্যাক্সেস দেওয়া হয়। . পরবর্তী আনলক করার পর্যায়টি বাতিল করা হয়েছে কারণ KeyguardSecurityContainerController#dismiss() কল করার সময় প্রত্যাশিত এবং পাস করা যাচাইকরণ পদ্ধতির মধ্যে কোনো তুলনা হয় না, যেমন প্রসেসর বিশ্বাস করে যে যাচাইকরণ পদ্ধতি পরিবর্তন হয়নি এবং PUK কোড যাচাইকরণের সমাপ্তি কর্তৃপক্ষের একটি সফল নিশ্চিতকরণ নির্দেশ করে।

দূর্বলতা দুর্ঘটনাক্রমে আবিষ্কৃত হয়েছিল - ব্যবহারকারীর ফোনটি মারা গিয়েছিল এবং চার্জ করার পরে এবং এটি চালু করার পরে, পিন কোড প্রবেশ করার সময় তিনি বেশ কয়েকবার ভুল করেছিলেন, তারপরে তিনি এটি পিইউকে কোড দিয়ে আনলক করেছিলেন এবং অবাক হয়েছিলেন যে সিস্টেমটি জিজ্ঞাসা করেনি। ডেটা ডিক্রিপ্ট করতে ব্যবহৃত প্রধান পাসওয়ার্ডের জন্য, যার পরে এটি "পিক্সেল শুরু হচ্ছে..." বার্তার সাথে হিমায়িত হয়ে যায়। ব্যবহারকারীটি সূক্ষ্ম হয়ে উঠল, কী ঘটছে তা নির্ধারণ করার সিদ্ধান্ত নিয়েছে এবং বিভিন্ন উপায়ে পিন এবং PUK কোডগুলি প্রবেশ করানো নিয়ে পরীক্ষা-নিরীক্ষা শুরু করেছে, যতক্ষণ না সে দুর্ঘটনাক্রমে সিম কার্ড পরিবর্তন করার পরে ডিভাইসটি রিবুট করতে ভুলে যায় এবং পরিবর্তে পরিবেশে অ্যাক্সেস পায়। জমে যাওয়া

বিশেষ আগ্রহের বিষয় হল দুর্বলতার ঘোষণায় Google এর প্রতিক্রিয়া। সমস্যা সম্পর্কে তথ্য জুনে পাঠানো হয়েছিল, কিন্তু সেপ্টেম্বর পর্যন্ত গবেষক এখনও একটি স্পষ্ট উত্তর পেতে অক্ষম ছিলেন। তিনি বিশ্বাস করতেন যে এই আচরণটি ব্যাখ্যা করা হয়েছে যে তিনি এই ত্রুটিটি রিপোর্ট করার জন্য প্রথম নন। কিছু ভুল হচ্ছে বলে সন্দেহ সেপ্টেম্বরে দেখা দেয়, যখন 90 দিন পরে প্রকাশিত একটি ফার্মওয়্যার আপডেট ইনস্টল করার পরেও সমস্যাটি অপরিশোধিত থেকে যায়, যখন বর্ণিত অ-প্রকাশের সময়সীমা ইতিমধ্যেই শেষ হয়ে গেছে।

যেহেতু সমস্যাটি সম্পর্কে প্রেরিত বার্তার স্থিতি খুঁজে বের করার সমস্ত প্রচেষ্টা শুধুমাত্র স্বয়ংক্রিয় এবং টেমপ্লেট উত্তরগুলির দিকে পরিচালিত করেছিল, তাই গবেষক একটি সমাধানের প্রস্তুতির সাথে পরিস্থিতি পরিষ্কার করার জন্য Google কর্মীদের সাথে ব্যক্তিগতভাবে যোগাযোগ করার চেষ্টা করেছিলেন এবং এমনকি Google এর লন্ডন অফিসে দুর্বলতা প্রদর্শন করেছিলেন . এর পরেই দুর্বলতা দূর করার কাজটি এগিয়ে যায়। বিশ্লেষণের সময়, এটি প্রমাণিত হয়েছে যে কেউ ইতিমধ্যে সমস্যাটি আগেই রিপোর্ট করেছে, কিন্তু Google একটি ব্যতিক্রম করার সিদ্ধান্ত নিয়েছে এবং সমস্যাটি আবার রিপোর্ট করার জন্য একটি পুরষ্কার প্রদান করবে, কারণ এটি শুধুমাত্র তার লেখকের অধ্যবসায়কে ধন্যবাদ যে সমস্যাটি লক্ষ্য করা গেছে।

উত্স: opennet.ru