एन्ड्रोइड अनुप्रयोगहरूमा ब्याकडोरहरूको विश्लेषणको नतिजा

हेल्महोल्ट्ज सेन्टर फर इन्फर्मेसन सेक्युरिटी (CISPA), ओहायो स्टेट युनिभर्सिटी र न्यूयोर्क युनिभर्सिटीका अनुसन्धानकर्ताहरू खर्च भयो एन्ड्रोइड प्लेटफर्मका लागि अनुप्रयोगहरूमा लुकेका कार्यक्षमताको अनुसन्धान। गुगल प्ले क्याटलगबाट १०० हजार मोबाइल अनुप्रयोगहरू, वैकल्पिक क्याटलग (बैदु) बाट २० हजार र विभिन्न स्मार्टफोनहरूमा ३० हजार पूर्व-स्थापित अनुप्रयोगहरूको विश्लेषण, SamMobile बाट १००० फर्मवेयरबाट निकालिएको, देखियो, १२७०६ (८.५%) कार्यक्रमहरूमा प्रयोगकर्ताबाट लुकेको कार्यक्षमता हुन्छ, तर विशेष अनुक्रमहरू प्रयोग गरेर सक्रिय गरिन्छ, जसलाई ब्याकडोरको रूपमा वर्गीकृत गर्न सकिन्छ।

विशेष गरी, ७,५८४ अनुप्रयोगहरूमा निर्मित गोप्य पहुँच कुञ्जीहरू, ५०१ - निर्मित मास्टर पासवर्डहरू, र ६,०१३ - लुकेका आदेशहरू समावेश थिए। जाँच गरिएका कार्यक्रमहरूको सबै स्रोतहरूमा समस्याग्रस्त अनुप्रयोगहरू पाइन्छन् - प्रतिशतको हिसाबले, गुगल प्लेबाट अध्ययन गरिएका कार्यक्रमहरूको ६.८६% (६,८६०) मा, वैकल्पिक क्याटलगबाट ५.३२% (१,०६४) मा, र पूर्व-स्थापित अनुप्रयोगहरूको सूचीबाट १५.९६% (४,७८८) मा ब्याकडोरहरू पत्ता लगाइयो। पत्ता लगाइएका ब्याकडोरहरूले कुञ्जीहरू, सक्रियता पासवर्डहरू, र आदेश अनुक्रमहरू जान्ने जो कोहीलाई पनि अनुप्रयोग र यससँग सम्बन्धित सबै डेटामा पहुँच प्राप्त गर्न अनुमति दिन्छ।

उदाहरणका लागि, ५० लाख स्थापना भएको स्पोर्ट्स स्ट्रिमिङ एपमा एडमिन इन्टरफेसमा प्रवेश गर्न बिल्ट-इन कुञ्जी रहेको पाइयो, जसले तपाईंलाई एपको सेटिङहरू परिवर्तन गर्न र थप कार्यक्षमता पहुँच गर्न अनुमति दिन्छ। ५० लाख स्थापना भएको स्क्रिन लक एपमा पहुँच कुञ्जी रहेको पाइयो जसले तपाईंलाई प्रयोगकर्ताले उपकरण लक गर्न सेट गरेको पासवर्ड रिसेट गर्न अनुमति दिन्छ। १० लाख स्थापना भएको अनुवाद एपमा एउटा कुञ्जी रहेको पाइयो जसले तपाईंलाई वास्तवमा भुक्तानी नगरी इन-एप खरिदहरू गर्न र प्रो संस्करणमा स्तरोन्नति गर्न अनुमति दिन्छ।

हराएको उपकरणको रिमोट कन्ट्रोलको लागि एउटा प्रोग्राममा मास्टर पासवर्ड फेला पर्यो, जसमा १ करोड स्थापनाहरू छन्, जसले प्रयोगकर्तालाई उपकरण हराएको अवस्थामा प्रयोगकर्ताले सेट गरेको लक हटाउन अनुमति दिन्छ। नोटबुक राख्नको लागि एउटा प्रोग्राममा मास्टर पासवर्ड फेला पर्यो, जसले गोप्य नोटहरू अनलक गर्न अनुमति दिन्छ। धेरै अनुप्रयोगहरूमा डिबगिङ मोडहरू पनि फेला पर्यो, जसले निम्न-स्तर क्षमताहरूमा पहुँच खोल्यो, उदाहरणका लागि, किनमेल अनुप्रयोगमा, एक निश्चित संयोजन प्रविष्ट गर्दा प्रोक्सी सर्भर सुरु गरिएको थियो, र प्रशिक्षण कार्यक्रममा, उत्तीर्ण परीक्षणहरू बाइपास गर्न सम्भव थियो।

पछाडिको ढोकाको अतिरिक्त, ४,०२८ (२.७%) अनुप्रयोगहरूमा प्रयोगकर्ताबाट प्राप्त जानकारी सेन्सर गर्न कालोसूचीहरू प्रयोग गरिएको पाइएको थियो। प्रयोग गरिएका कालोसूचीहरूमा उल्लेख गर्न निषेध गरिएका शब्दहरूको सेटहरू छन्, जसमा राजनीतिक दलहरू र राजनीतिज्ञहरूको नाम, जनसंख्याको केही खण्डहरूलाई धम्की दिन र भेदभाव गर्न प्रयोग गरिने विशिष्ट वाक्यांशहरू समावेश छन्। गुगल प्लेबाट अध्ययन गरिएका कार्यक्रमहरूको १.९८%, वैकल्पिक क्याटलगबाट ४.४६%, र पूर्व-स्थापित अनुप्रयोगहरूको सूचीबाट ३.८७% मा कालोसूचीहरू फेला परेका थिए।

अनुसन्धानकर्ताहरूले सिर्जना गरेको इनपुटस्कोप टुलकिट प्रयोग गरेर विश्लेषण गरिएको थियो, जसको कोड चाँडै उपलब्ध हुनेछ। प्रकाशित GitHub मा (अनुसन्धानकर्ताहरूले पहिले एक स्थिर विश्लेषक प्रकाशित गरेका थिए) लीकस्कोप, जसले स्वचालित रूपमा अनुप्रयोगहरूमा जानकारी चुहावट पत्ता लगाउँछ)।

स्रोत: opennet.ru