Հետազոտողը գտել է՝ Android-ի բուֆերի ընթերցման ծանուցումները կարելի է թաքցնել անհատական toast-երով

Հետազոտողը հրապարակայնորեն բացահայտել է մեթոդ, որը կարող է թաքցնել Android-ի բուֆերի ընթերցման ծանուցումը՝ արագ գործարկելով երկու մշակողական toast ծանուցում։ Բացահայտումը կատարվել է այն բանից հետո, երբ հետազոտողը տեղեկացել է, որ Android-ի անվտանգության թիմը կապված Moderate ծանրության CVE-ն նշել է Won't Fix։ Խնդիրը կարևոր է, քանի որ պատճենված հավատարմագրերը, օրինակ՝ Slack-ում փոխանցված գաղտնաբառը, կարող են ընթերցվել այլ հավելվածի կողմից՝ առանց օգտատիրոջը սովորական ծանուցումը նկատելու։

Ինչպես է աշխատում շրջանցումը

Պարզ Android փորձարկման հավելվածի միջոցով հետազոտողը կարողացել է շրջանցել բուֆերի ընթերցման անվտանգության միջոցը։ Փորձարկումը արագ գործարկել է երկու մշակողական toast ծանուցում, որոնք ցուցադրվել են օգտատիրոջը բուֆերի բովանդակությունը ընթերցված լինելու մասին զգուշացնող հաղորդագրության փոխարեն։ Հետազոտողը վերջերս տեղադրել էր Android Studio և fork արել էր Android Meshtastic հավելվածի պահոցը՝ փորձելով ուղղել ծանուցման ժամանակի սխալը, ինչը թողել էր Android մշակման գործիքները հասանելի և հուշել էր գաղափարը։ Ծանուցման ժամանակի սխալը չհաջողվեց վերարտադրել։

Android-ի բուֆերի առկա պաշտպանությունները

Google-ի Secure Clipboard Handling փաստաթղթավորումը զգայուն բովանդակության անվտանգ պատճենման պատասխանատվությունը դնում է հավելվածների մշակողների վրա։ Android-ը աջակցում է ClipDescription.EXTRA_IS_SENSITIVE կամ android.content.extra.IS_SENSITIVE դրոշակը, որը թույլ է տալիս մշակողներին ստեղնաշարի ինտերֆեյսներում տեսողականորեն աղավաղել բուֆերի բովանդակության նախադիտումները։ Առանց այս դրոշակներից մեկի, հարձակվողները կարող են արտահանել զգայուն տվյալները ուսի վրայից դիտելու կամ ֆոնում աշխատող չարամիտ հավելվածների միջոցով, որոնք նկարահանում կամ տեսագրում են էկրանը։ Google-ի Authenticator հավելվածը օգտագործում է այս գործառույթը, երբ կոդերը պատճենվում են, որպեսզի մոտակա մարդը չկարողանա տեսնել գաղտնիքը ստեղնաշարը բացվելիս, թեև արժեքը մնում է ընթերցելի այլ հավելվածների համար։ Android 10-ից սկսած ֆոնային բուֆերի հասանելիությունը արգելված է, և էկրան նկարահանող հավելվածները պահանջում են բացահայտ թույլտվություն ամեն անգամ, բացառությամբ այն դեպքի, երբ նկարահանող հավելվածը ստորագրված է Android օպերացիոն համակարգի նույն բանալիով։ Android 12-ից սկսած, API մակարդակ 31-ում, բուֆերի տվյալները ընթերցող և դրանք տեղադրող հավելվածը առաջացնում է օգտատիրոջը ցուցադրվող toast հաղորդագրություն։

Հնարավոր չարաշահում և պահանջվող վերահսկողություն

Հետազոտողը նշել է, որ չարամիտ հավելվածների մշակողները կարող են օգտագործել բաց աղբյուրների հետախուզությունը՝ կապված հաշվի անունը որոշելու համար, կամ վաճառել պատճենված գաղտնիքը առանձին։ Հետազոտողը նախկինում Google-ի IssueTracker-ում բացել էր գործառույթի հարցում՝ պահանջելով բուֆերի հասանելիության վերահսկողություն յուրաքանչյուր հավելվածի համար, նման Location կամ Notification կարգավորումներին։ Այդ հարցումը հիմնված էր այն տեսակետի վրա, որ ինքնաբերաբար անհետացող և հեշտությամբ բաց թողնվող toast ծանուցումը բավարար չէ պոտենցիալ զգայուն գործողության համար։ Բլոգը սկզբնապես գրվել էր 2026 թվականի հուլիսի վերջին, սակայն հրապարակումը հետաձգվել էր՝ սպասելով Android-ի անվտանգության թիմի սխալի լուծմանը։

Աղբյուրներ՝ toninoble.com