{"id":105525,"date":"2022-11-11T21:36:51","date_gmt":"2022-11-11T19:36:51","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-android-pozvolyayushhaya-obojti-blokirovku-ekrana"},"modified":"2022-11-11T21:36:51","modified_gmt":"2022-11-11T19:36:51","slug":"uyazvimost-v-android-pozvolyayushhaya-obojti-blokirovku-ekrana","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/novosti-interneta\/uyazvimost-v-android-pozvolyayushhaya-obojti-blokirovku-ekrana","title":{"rendered":"Vulnerabilit\u00e0 in Android che consente di bypassare il blocco dello schermo.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
\u00c8 stata identificata una vulnerabilit\u00e0 nella piattaforma Android (CVE-2022-20465) che consente di disattivare il blocco dello schermo attraverso la sostituzione della SIM e l'inserimento del codice PUK. La possibilit\u00e0 di disattivare il blocco \u00e8 stata dimostrata su dispositivi Google Pixel, ma poich\u00e9 la patch coinvolge il codice sorgente principale di Android, \u00e8 probabile che il problema riguardi anche i firmware di altri produttori. La questione \u00e8 stata risolta nel pacchetto di aggiornamenti di sicurezza di novembre per Android. Il ricercatore che ha segnalato il problema ha ricevuto un premio di 70.000 dollari da Google. <\/p>\n
Il problema \u00e8 dovuto a un'elaborazione errata dello sblocco dopo l'inserimento del codice PUK (Personal Unblocking Key), utilizzato per riattivare una scheda SIM bloccata dopo ripetuti tentativi errati di inserimento del codice PIN. Per disabilitare il blocco dello schermo, \u00e8 sufficiente inserire la propria scheda SIM nel telefono, su cui \u00e8 attivata la protezione tramite codice PIN. Dopo aver cambiato la scheda SIM protetta dal codice PIN, all'inizio verr\u00e0 visualizzato un prompt per il codice PIN. Se il codice PIN viene inserito erroneamente tre volte, la scheda SIM verr\u00e0 bloccata, dopodich\u00e9 verr\u00e0 data l'opportunit\u00e0 di inserire il codice PUK per sbloccare. Si \u00e8 scoperto che l'inserimento corretto del codice PUK non solo sblocca la scheda SIM, ma consente anche di accedere all'interfaccia principale bypassando il custode dello schermo, senza confermare l'accesso tramite la password principale o il codice grafico.
\r\n \r\n
<\/div>\r\n <\/div><\/center> <\/p>\n
La vulnerabilit\u00e0 \u00e8 causata da un errore nella logica di verifica dei codici PUK nel gestore KeyguardSimPukViewController, responsabile della visualizzazione dello schermo di autenticazione aggiuntivo. In Android vengono utilizzati diversi tipi di schermi di autenticazione (per PIN, PUK, password, pattern, autenticazione biometrica) e questi schermi vengono chiamati in sequenza quando \u00e8 necessario eseguire pi\u00f9 verifiche, ad esempio quando sono richiesti sia il PIN che il pattern. <\/p>\n
Con l'immissione corretta del PIN, scatta la seconda fase di verifica, che richiede l'inserimento del codice di sblocco principale, ma con l'immissione del PUK, tale fase viene saltata e l'accesso viene fornito senza richiedere la password principale o il pattern. Il salto della fase successiva di sblocco avviene poich\u00e9 durante la chiamata a KeyguardSecurityContainerController#dismiss() non viene effettuato il confronto tra il metodo di verifica previsto e quello completato, ovvero il gestore considera che non vi sia stata alcuna modifica nel metodo di verifica e che il completamento della verifica del PUK testimoni un'autenticazione riuscita. <\/p>\n
La vulnerabilit\u00e0 \u00e8 stata scoperta per caso \u2014 un utente ha esaurito la batteria del telefono e, dopo averlo ricaricato e acceso, ha inserito il PIN errato pi\u00f9 volte. Successivamente, ha sbloccato il dispositivo con il codice PUK e si \u00e8 sorpreso che il sistema non abbia richiesto la password principale utilizzata per decrittografare i dati, bloccandosi con il messaggio \u00abIl Pixel si sta avviando\u2026\u00bb. L'utente, per sua curiosit\u00e0, ha deciso di indagare e ha iniziato a sperimentare con l'immissione dei codici PIN e PUK. Alla fine, ha dimenticato di riavviare il dispositivo dopo aver cambiato la SIM e, anzich\u00e9 bloccarsi, ha ottenuto accesso all'ambiente. <\/p>\n
Particolarmente interessante \u00e8 la reazione di Google alla segnalazione della vulnerabilit\u00e0. L'informazione sul problema \u00e8 stata inviata a giugno, ma fino a settembre il ricercatore non \u00e8 riuscito a ottenere una risposta soddisfacente. Ha ritenuto che questo comportamento fosse spiegabile dal fatto che non era il primo a segnalare l'errore. I sospetti che qualcosa non andasse per il verso giusto sono sorti a settembre, quando il problema \u00e8 rimasto irrisolto dopo l'installazione di un aggiornamento del firmware, rilasciato 90 giorni dopo, quando era gi\u00e0 scaduto il periodo di non divulgazione dichiarato. <\/p>\n
Poich\u00e9 tutti i tentativi di ottenere informazioni sullo stato del messaggio di segnalazione del problema si sono tradotti solo in risposte automatiche e standardizzate, il ricercatore ha tentato di contattare personalmente i dipendenti di Google per chiarire la situazione relativa ai preparativi per la correzione e ha persino dimostrato la vulnerabilit\u00e0 nell'ufficio di Google a Londra. Solo dopo questo la situazione riguardante la vulnerabilit\u00e0 ha cominciato a muoversi. Durante l\u2019analisi \u00e8 emerso che qualcuno aveva gi\u00e0 segnalato il problema in precedenza, ma Google ha deciso di fare un'eccezione e di corrispondere una ricompensa per la segnalazione del problema, poich\u00e9 solo grazie alla perseveranza del suo autore l'attenzione \u00e8 stata rivolta al problema. \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"Riproduci](\"https:\/\/img.youtube.com\/vi\/dSgSnYPgzT0\/hqdefault.jpg\")
\r\n