Navigacija
Lista poslednjih: 16, 32, 64, 128 poruka.

http://techcrunch.com/2013/07/04/android-security-hole/

[es] :: Advocacy :: http://techcrunch.com/2013/07/04/android-security-hole/

Strane: 1 2

[ Pregleda: 8252 | Odgovora: 27 ] > FB > Twit

Postavi temu Odgovori

Autor

Pretraga teme: Traži
Markiranje Štampanje RSS

bojan_bozovic

Član broj: 29028
Poruke: 3292
*.dynamic.sbb.rs.

Sajt: angelstudio.org


+392 Profil

icon Re: http://techcrunch.com/2013/07/04/android-security-hole/07.07.2013. u 18:06 - pre 131 meseci
Ako ćemo već da teramo mak na konac, ni Windows ne testira hashove dll fajlova, što jeste sigurnosni propust. Možda to može da se promeni preko policy editora, no slaba je korist od toga, čim nije podrazumevana konfiguracija.
 
Odgovor na temu

EArthquake

Član broj: 20684
Poruke: 884
*.dynamic.sbb.rs.



+67 Profil

icon Re: http://techcrunch.com/2013/07/04/android-security-hole/08.07.2013. u 09:52 - pre 131 meseci
a evo i u cemu je konkretan bug

APK fajl je u stvari ZIP fajl, a u zip fajlu mogu da postoje dva fajla sa istim imenom

fora je da se pomocu apktool-a izvuce fajl koji treba promeniti, izvrsi se promena,
pomocu apktool-a se rebuilda apk , a onda dodaju potpisi i originalni fajlovi ...
problem je sto ce android u ovom slucaju proveriti potpis originalnog fajla, ali pri pokretanju aplikacije koristiti drugi, modifikovani fajl

TADA, mogu ja da drzim prezentaciju na BlackHat-u ? :)
 
Odgovor na temu

Dexic
ASP

Član broj: 253999
Poruke: 3837



+1376 Profil

icon Re: http://techcrunch.com/2013/07/04/android-security-hole/08.07.2013. u 10:19 - pre 131 meseci
Ako je toliko prosto bug a do sada nije otkrivven..... cime se bave onda security experti?? Kao da su zaposleni u srpskom javnom preduzecu :D
 
Odgovor na temu

Nedeljko
Nedeljko Stefanović

Član broj: 314
Poruke: 8632
*.dynamic.isp.telekom.rs.



+2789 Profil

icon Re: http://techcrunch.com/2013/07/04/android-security-hole/08.07.2013. u 11:27 - pre 131 meseci
Izvini, a ko će da promeni taj APK fajl? Može li bez root privilegija?
Nije bitno koji su zaključci izvučeni, već kako se do njih došlo.
 
Odgovor na temu

Dexic
ASP

Član broj: 253999
Poruke: 3837



+1376 Profil

icon Re: http://techcrunch.com/2013/07/04/android-security-hole/08.07.2013. u 12:17 - pre 131 meseci
To sam vec rekao da ne moze bez root-a, ali ako je bug stvarno ovo sto EQ opisuje onda je moguce da se na Play Store-u pojavi APK sa laznim potpisom :)
 
Odgovor na temu

Nedeljko
Nedeljko Stefanović

Član broj: 314
Poruke: 8632
*.3gnet.mts.telekom.rs.



+2789 Profil

icon Re: http://techcrunch.com/2013/07/04/android-security-hole/08.07.2013. u 14:45 - pre 131 meseci
Znači, fora je da ja skinem originalni APK sa sistemskim ažuriranjem i da u njega pod istim imenom ubacim neki falš fajl, da ga okačim na Google Play.

E, sad mi nije jasno kako će androidov update sustem da povuče neki tamo bezvezni APK, pa makar imao sto Google-ovih pečata i potpisa, ali ako nije tamo gde on traži sistemske update-ove. Ne pretražuje valjda ceo Google Play ne bi li našao šta sve ima Google-ov potpis?
Nije bitno koji su zaključci izvučeni, već kako se do njih došlo.
 
Odgovor na temu

EArthquake

Član broj: 20684
Poruke: 884
*.dynamic.sbb.rs.



+67 Profil

icon Re: http://techcrunch.com/2013/07/04/android-security-hole/08.07.2013. u 16:17 - pre 131 meseci
pa da, zato se i bunim oko ovog hype-a i FUD-a

najugrozeniji su ovde korisnici koji aplikacije instaliraju sa nekih levih marketa
ili "rucno", sto definitivno nije vecina korisnika


Citat:

Ako je toliko prosto bug a do sada nije otkrivven..... cime se bave onda security experti?? Kao da su zaposleni u srpskom javnom preduzecu :D


otkriven je jos pre nekog vremena, samo ga je lik cuvao kao 0day :)
ovi sad su ga otkrili nezavisno

a evo i koliko je komplikovano (nije moj kod naravno):
https://gist.github.com/poliva/36b0795ab79ad6f14fd8

[Ovu poruku je menjao EArthquake dana 08.07.2013. u 17:30 GMT+1]
 
Odgovor na temu

Otto23

Član broj: 300024
Poruke: 4



+2028 Profil

icon Re: http://techcrunch.com/2013/07/04/android-security-hole/08.09.2013. u 02:35 - pre 129 meseci
@Dimke
Citat:
Prvo, NSA nema nikakvu potrebu da sebe kompromituje nekakvim exploitima koje izvaljuju bubuljicari po "black hat" konferencijama, posto na savrseno legalan nacin mogu da dobiju pristup telefonskim razgovorima i svim drugim podacima koje taj telefon komunicira sa mrezom.

Sve sto treba da urade je da lepo zamole telefonske operatere ili Google da im te podatke ustupe, ili da ih sami prikupe automatizovanim procedurama analize paketa koje imaju po kljucnim nodovima. I to je 100% nevidljivo za vlasnika telefona.

Drugo, sa ovim bagom NSA apsolutno nista ne dobija sto vec ne mogu da imaju na daleko cistiji nacin.

Citat:
Kao sto rekoh, NSA ima daleko cistije nacine da nekoga prisluskuje nego da mu instaliraju malware na telefon. Cak i da NSA mora da pribegne instalaciji malware-a postoje nacini da oni to urade koji ce uvek funkcionisati i nece biti ugrozeni nekim provaljivanjem od "black hat-ova".


Kao sto rekoh, NSA itekako ima poterebu da prisluskuje na sve moguce nacine - sto se iz prilozenog da videti - i to zamisli - bas hakovanjem:
Citat:
NSA can tap into BlackBerry, iOs, and Android systems – report

The US National Security Agency (NSA) can access data on smart phones using the world’s most popular systems including iOs, Android, and even BlackBerry - which markets itself to be highly secure, according to a new report.

The NSA has tapped into all the leading mobile operating systems to gain access to contact lists, SMS traffic, notes, and users’ current and past locations, Der Spiegel reported, citing internal NSA documents.

The leaked documents also reveal that the NSA has organized a working group for each operating system. The groups are responsible for clandestine operations to gather data saved on the phones.
‘Champagne!’: NSA boasts of successes

The NSA has reportedly been most successful in accessing iPhone user data, and at times has been able to hack into the computer used to sync with the mobile device. This allows the agency to run a mini-program dubbed “scripts,” which enables additional access to at least 38 more iPhone features.

The documents noted that similar successes took place using BlackBerry mobile devices. According to the report, 2009 was the only year that the NSA had a problem accessing BlackBerry data. The lack of access was due to changes in the way the company compressed data. But in March 2010, the NSA was able to hack back in, celebrating with the word “champagne!”

The spy agency also hacked its way into the BlackBerry’s mail system, which is known to be extremely secure. The reports may be damaging to the Canadian company, which has always stated that its mail system is impenetrable.

In response, BlackBerry officials said that they have not built a “back door pipeline” into the system and stated that it was not their place “to comment on media reports regarding alleged government surveillance of telecommunications traffic."

Spiegel noted that spying on smart phones has not been a mass surveillance operation. It said the tactic was only used on specific individuals and was done without the knowledge of the smart phone companies.

http://rt.com/news/nsa-smart-phones-spying-563/

Dakle upravo NSA ekipa se bavi hakovanjem i proizvodnjom mailware-a - iako navodno, "NSA nema nikakvu potrebu da sebe kompromituje nekakvim exploitima" :)
 
Odgovor na temu

[es] :: Advocacy :: http://techcrunch.com/2013/07/04/android-security-hole/

Strane: 1 2

[ Pregleda: 8252 | Odgovora: 27 ] > FB > Twit

Postavi temu Odgovori

Navigacija
Lista poslednjih: 16, 32, 64, 128 poruka.