Никому нельзя верить! Android всегда запрашивают набор прав на доступ к разным сервисам вашего телефона. Всегда. Почти.
Как оказалось подсистему проверки прав можно сломать. Причем ломают производители телефонов и операторы связи. В данный момент известно о том, что Motorola Droid X и Samsung Epic 4G имеют недочет в прошивке, который позволяет подавлять запросы на отправку смс, запись разговора итд итп. Ребята из Университета Северной Каролины(Америка) быстро нашли источник проблемы. Им оказались предустановленные оператором приложения. Видно оставив дырку «для своих» разработчики не задумались, что «свои» бывают разные. Как итого, можно предполагать наличие подобных дыр на всех прошивках от операторов связи.
Google и Motorola уже признали наличие этого бага, в том время как HTC и Samsung пока отмалчиваются.
Проблема кроется в том, что операторы убрали запрос разрешений для своих приложений, которыми щедро пичкают субсидированные телефоны. Теперь достаточно подписать свое приложение тем же сертификатом(что как показала практика не так трудно) и получаем app, который воспринимается системой, как «не требующий подтверждений в доступе».
Что интересно, подобный прокол может не затронуть Россию вообще. У нас просто нет субсидированных телефонов и понятия «прошивка оператора». У меня плохие новости…
Исследователи также отметили, что Android Market не проверяет сертификаты. На developers.android.com прямым текстом написано:
«You can use self-signed certificates to sign your applications. No certificate authority is needed»
Это значит что распространение подарков возможно прямо с маркета. Всем веселого рождества!
P.s: полное описание уязвимости с примерами доступна тут
Как оказалось подсистему проверки прав можно сломать. Причем ломают производители телефонов и операторы связи. В данный момент известно о том, что Motorola Droid X и Samsung Epic 4G имеют недочет в прошивке, который позволяет подавлять запросы на отправку смс, запись разговора итд итп. Ребята из Университета Северной Каролины(Америка) быстро нашли источник проблемы. Им оказались предустановленные оператором приложения. Видно оставив дырку «для своих» разработчики не задумались, что «свои» бывают разные. Как итого, можно предполагать наличие подобных дыр на всех прошивках от операторов связи.
Google и Motorola уже признали наличие этого бага, в том время как HTC и Samsung пока отмалчиваются.
Проблема кроется в том, что операторы убрали запрос разрешений для своих приложений, которыми щедро пичкают субсидированные телефоны. Теперь достаточно подписать свое приложение тем же сертификатом(что как показала практика не так трудно) и получаем app, который воспринимается системой, как «не требующий подтверждений в доступе».
Исследователи также отметили, что Android Market не проверяет сертификаты. На developers.android.com прямым текстом написано:
«You can use self-signed certificates to sign your applications. No certificate authority is needed»
Это значит что распространение подарков возможно прямо с маркета. Всем веселого рождества!
P.s: полное описание уязвимости с примерами доступна тут
