Actualizați 19 iunie: Samsung a detaliat ce puteți face pentru a vă asigura că veți primi soluția pentru exploit.
Update 18 iunie: Samsung spune Android Central că pregătește o actualizare de securitate care nu va trebui să aștepte la o actualizare completă a sistemului de la operatori.
Tastatura de stoc a Samsung - ca în cea care se livrează pe telefoanele sale - este subiectul astăzi al unei piese de la firma de securitate NowSecure care detaliază un defect care are posibilitatea de a permite executarea codului de la distanță pe telefon. Tastatura încorporată Samsung folosește kitul de dezvoltare software SwiftKey pentru pachete de predicție și limbaj și de acolo a fost găsit exploitul.
NowSecure a subliniat întregul lucru cu „Risc de securitate al tastaturii Samsung dezvăluit: peste 600M + dispozitive cu impact global.” Sunt chestii care speră. (Mai ales atunci când include fundaluri roșii strălucitoare și imagini înfricoșătoare cu ceea ce este cunoscut în general ca chip mort.)
Deci trebuie să vă faceți griji? Probabil ca nu. Să o dărâmăm.
Primul lucru este primul: ne-a fost confirmat că vorbim despre tastatura de stocare Samsung de pe Galaxy S6, Galaxy S5, Galaxy S4 și GS4 Mini - și nu versiunea de SwiftKey pe care o puteți descărca de pe Google Play sau Apple App Store. Acestea sunt două lucruri foarte diferite. (Și dacă nu utilizați un telefon Samsung, oricum nu vă aplică nimic.)
Am ajuns la SwiftKey, care ne-a dat următoarea afirmație:
Am văzut rapoarte cu privire la o problemă de securitate legată de tastatura stoc Samsung care folosește SwiftKey SDK. Putem confirma că aplicația SwiftKey Keyboard disponibilă prin Google Play sau Apple App Store nu este afectată de această vulnerabilitate. Luăm rapoarte despre acest mod foarte în serios și în prezent investigăm în continuare.
Am contactat și Samsung la începutul zilei, dar nu am primit încă niciun comentariu. Vom actualiza dacă și când vom primi unul.
Citind prin blogul tehnic NowSecure despre exploit, putem obține o privire despre ce se întâmplă. (Dacă o citiți singur, rețineți că acolo unde spun „Swift” înseamnă „SwiftKey.”) Dacă sunteți conectat la un punct de acces nesigur (cum ar fi o rețea Wifi deschisă), este posibil ca cineva să intercepteze și să modifice limbajul SwiftKey pachetează pe măsură ce se actualizează (ceea ce fac periodic din motive evidente - predicție îmbunătățită și ce nu), trimițându-ți datele telefonului de la atacatori.
Să fii capabil să faci un rau. Dar, din nou, depinde de faptul că sunteți pe o rețea nesigură în primul rând (ceea ce chiar nu ar trebui să fiți - evitați hotspoturile publice care nu utilizează securitatea wireless sau considerați un VPN). Și cineva fiind acolo pentru a face ceva nefiresc în primul rând.
Și depinde de faptul că aveți un dispozitiv neatacat. După cum subliniază în sine NowSecure, Samsung a trimis deja patch-uri transportatorilor. Pur și simplu nu are idee câți au împins patch-ul sau, în final, câte dispozitive rămân vulnerabile.
Acestea sunt o mulțime de variabile și necunoscute care se adaugă în cele din urmă la o altă exploatare academică (spre deosebire de cea care are implicații din lumea reală) care trebuie să fie (și a fost) corecată, deși subliniază importanța operatorilor care controlează actualizări ale telefoanelor din SUA pentru a obține actualizări mai repede.
Actualizare 17 iunie: SwiftKey, într-o postare pe blog, spune:
Furnizăm Samsung tehnologia de bază care alimentează predicțiile de cuvinte în tastatura lor. Se pare că modul în care această tehnologie a fost integrată pe dispozitivele Samsung a introdus vulnerabilitatea securității. Facem tot ce putem pentru a sprijini partenerul nostru de lungă durată Samsung în eforturile lor de a rezolva această problemă de securitate obscură, dar importantă.
Vulnerabilitatea în cauză prezintă un risc scăzut: un utilizator trebuie să fie conectat la o rețea compromisă (cum ar fi o rețea Wi-Fi publică distrusă), unde un hacker cu instrumentele potrivite a intenționat să obțină acces la dispozitivul său. Acest acces este posibil numai dacă tastatura utilizatorului efectuează o actualizare de limbă la acel moment specific, în timp ce este conectată la rețeaua compromisă.
