एन्ड्रोइड अनुप्रयोगहरूमा ब्याकडोरहरूको विश्लेषणको नतिजा

हेल्महोल्ट्ज सेन्टर फर इन्फर्मेशन सेक्युरिटी (CISPA), द ओहायो स्टेट युनिभर्सिटी र न्यूयोर्क युनिभर्सिटीका अनुसन्धानकर्ताहरू खर्च भयो एन्ड्रोइड प्लेटफर्मको लागि अनुप्रयोगहरूमा लुकेको कार्यक्षमताको अनुसन्धान। गुगल प्ले क्याटलगबाट 100 हजार मोबाइल एप्लिकेसनहरूको विश्लेषण, वैकल्पिक क्याटलग (बाइडु) बाट 20 हजार र SamMobile बाट 30 फर्मवेयरबाट चयन गरिएका विभिन्न स्मार्टफोनहरूमा पूर्व-स्थापित 1000 हजार अनुप्रयोगहरू, देखियोकि 12706 (8.5%) प्रोग्रामहरूले प्रयोगकर्ताबाट लुकेको कार्यक्षमता समावेश गर्दछ, तर विशेष अनुक्रमहरू प्रयोग गरेर सक्रिय गरिएको छ, जसलाई ब्याकडोरको रूपमा वर्गीकृत गर्न सकिन्छ।

विशेष रूपमा, 7584 अनुप्रयोगहरूमा एम्बेडेड गोप्य पहुँच कुञ्जीहरू, 501 एम्बेडेड मास्टर पासवर्डहरू, र 6013 लुकेका आदेशहरू समावेश छन्। समस्याग्रस्त अनुप्रयोगहरू परीक्षण गरिएका सबै सफ्टवेयर स्रोतहरूमा फेला पर्छन् - प्रतिशतका सर्तहरूमा, गुगल प्लेबाट अध्ययन गरिएका कार्यक्रमहरूको 6.86% (6860) मा ब्याकडोरहरू पहिचान गरिएको थियो, वैकल्पिक सूचीबाट 5.32% (1064) मा र 15.96% (4788) मा। पूर्व-स्थापित अनुप्रयोगहरूको सूचीबाट। पहिचान गरिएको ब्याकडोरहरूले कुञ्जीहरू, सक्रियता पासवर्डहरू र कमाण्ड अनुक्रमहरू जान्‍ने जो कोहीलाई अनुप्रयोग र यससँग सम्बन्धित सबै डेटामा पहुँच प्राप्त गर्न अनुमति दिन्छ।

उदाहरणका लागि, 5 मिलियन स्थापना भएको खेलकुद स्ट्रिमिङ एपमा एडमिन इन्टरफेसमा लग इन गर्नको लागि बिल्ट-इन कुञ्जी फेला पर्यो, जसले प्रयोगकर्ताहरूलाई एप सेटिङहरू परिवर्तन गर्न र थप कार्यक्षमता पहुँच गर्न अनुमति दिन्छ। 5 मिलियन स्थापनाहरू भएको स्क्रिन लक एपमा, एउटा पहुँच कुञ्जी फेला पर्‍यो जसले तपाईंलाई प्रयोगकर्ताले यन्त्र लक गर्न सेट गरेको पासवर्ड रिसेट गर्न अनुमति दिन्छ। अनुवादक कार्यक्रम, जसमा 1 मिलियन स्थापनाहरू छन्, एउटा कुञ्जी समावेश गर्दछ जसले तपाईंलाई अनुप्रयोगभित्र खरिदहरू गर्न र कार्यक्रमलाई वास्तवमा भुक्तानी नगरी प्रो संस्करणमा अपग्रेड गर्न अनुमति दिन्छ।

हराएको यन्त्रको रिमोट कन्ट्रोलको लागि कार्यक्रममा, जसमा 10 मिलियन स्थापनाहरू छन्, एक मास्टर पासवर्ड पहिचान गरिएको छ जसले यन्त्र हराएको अवस्थामा प्रयोगकर्ताद्वारा सेट गरिएको लक हटाउन सम्भव बनाउँछ। नोटबुक प्रोग्राममा मास्टर पासवर्ड फेला पर्‍यो जसले तपाईंलाई गोप्य नोटहरू अनलक गर्न अनुमति दिन्छ। धेरै अनुप्रयोगहरूमा, डिबगिङ मोडहरू पनि पहिचान गरिएको थियो जसले निम्न-स्तर क्षमताहरूमा पहुँच प्रदान गर्दछ, उदाहरणका लागि, एक शपिंग अनुप्रयोगमा, एक निश्चित संयोजन प्रविष्ट गर्दा प्रोक्सी सर्भर सुरु गरिएको थियो, र प्रशिक्षण कार्यक्रममा त्यहाँ परीक्षणहरू बाइपास गर्ने क्षमता थियो। ।

ब्याकडोरको अतिरिक्त, 4028 (2.7%) अनुप्रयोगहरूमा प्रयोगकर्ताबाट प्राप्त जानकारी सेन्सर गर्न प्रयोग गरिएको कालोसूचीहरू फेला परेका थिए। प्रयोग गरिएको कालोसूचीहरूमा राजनीतिक दलहरू र राजनीतिज्ञहरूको नाम सहित निषेधित शब्दहरूको सेटहरू छन्, र जनसङ्ख्याका केही खण्डहरूलाई डराउन र भेदभाव गर्न प्रयोग गरिने विशिष्ट वाक्यांशहरू छन्। Google Play बाट अध्ययन गरिएका कार्यक्रमहरूको १.९८%, वैकल्पिक सूचीबाट ४.४६% र पूर्व-स्थापित अनुप्रयोगहरूको सूचीबाट ३.८७% मा कालोसूचीहरू पहिचान गरियो।

विश्लेषण गर्नको लागि, शोधकर्ताहरूले सिर्जना गरेको InputScope टूलकिट प्रयोग गरिएको थियो, जसको लागि कोड निकट भविष्यमा जारी गरिनेछ। प्रकाशित GitHub मा (अनुसन्धानकर्ताहरूले पहिले एक स्थिर विश्लेषक प्रकाशित गरेका थिए लीकस्कोप, जसले स्वचालित रूपमा अनुप्रयोगहरूमा जानकारी चुहावट पत्ता लगाउँदछ)।

स्रोत: opennet.ru