Android OS

Найдена уязвимость в веб-браузере Android

26 октября 2008

Группа исследователей безопасности Independent Security Evaluators в Балтиморе, обнаружила уязвимость в Android, которая позволяет перенаправить веб-браузер на вредоносный сайт.

Charlie Miller из группы исследователей рассказал New York Times, что он уведомил Google об этой уязвимости в начале недели.

Руководители Google признали наличие уязвимости, однако добавили, что система безопасности G1 существенно ограничивает масштаб ущерба, который может быть нанесён злоумышленниками, по сравнению с сегодняшними ПК и другими мобильными платформами.

В отличие от современных персональных компьютеров и таких смартфонов, как iPhone, Google создаёт для своей платформы серию программного обеспечения, которое ограничивает доступ злоумышленника к конкретным приложениям.

“Мы хотели создать механизм для безопасного исполнения программ (песочницу) для каждого конкретного приложения, потому-что вы не можете доверять ни одному из них”, - говорит Rich Cannings, инженер безопасности Google. Также он сказал, что компания уже исправила open-source версию программного обеспечения и работает со своими партнёрами - T-Mobile и HTC чтобы предложить багфиксы для своих клиентов.

Как правило, сегодняшние ОС пытаются ограничить доступ к приложениям, путём разделения конкретных пользователей системы, от суперпользователей (superuser, root), которые владеют полным доступом ко всему содержимому системы.

Опасность в разработке Google, согласно Charlie Miller, находится в возможности подключить вредоносное ПО к веб-браузеру. Например, можно установить программное обеспечение, которое будет производить захват нажатия клавиш пользователем в процессе веб-сёрфинга - это может позволить злоумышленнику получить информацию о всех введённых через браузер данных, включая пароли и личную информацию.

Руководители Google заявили, что Charlie Miller нарушил неписаный кодекс между разработчиками и специалистами по безопасности, который подразумевает неразглашение найденых уязвимостей, что бы дать время разработчикам на исправление ошибок. В ответ Charlie Miller заявил, что он не разглашал никаких технических деталей и считает, что потребители имеют право знать о недостатках любого продукта.

теги: Charlie Miller, Google, Independent Security Evaluators, Rich Cannings, WebKit, браузер, уязвимость