Android ilovalarida o’rnatilgan, himoyalanmagan shifrlash kalitlari topildi

Android ilovalarida o’rnatilgan, himoyalanmagan shifrlash kalitlari topildi

Ko’pgina ishlab chiquvchilar maxfiy ma’lumotlarni .png va .apk fayllarida qoldirmoqdalar.

CERT Muvofiqlashtirish Markazi (CERT/CC) dasturiy ta’minot zaifliklari bo’yicha tahlilchisi Uill Dormann San-Fransiskoda bo’lib o’tgan BSides konferensiyasida ko’plab Android ilovalarida o’rnatilgan kriptografik kalitlarning topilishi haqida ma’lumot berdi.

Mutaxassisning so’zlariga ko’ra, u taxminan 1,8 million bepul Android ilovalarini skanerlagan va ko’plab xavfsizlik zaifliklarini aniqlagan. PGP kalitlari, VPN kodlari va qattiq kodlangan administrator parollariga ko’plab dasturlarda kirish mumkin edi.

«Men faqat bepul ilovalarni skanerladim. Ishonchim komilki, pullik ilovalarda ham shunga o’xshash muammolar mavjud», deb ta’kidladi mutaxassis.

Dormann jami 20 000 ga yaqin himoyalanmagan kalitlarga ega dasturlarni topdi, jumladan, mashhur Samsung aqlli uy ilovasida ham.

Dormann shuningdek, ilovalarga sukut bo’yicha shaxsiy kalitlarni joylashtiradigan Appinventor dasturchi vositasini ham ta’kidladi. Asbob ishlab chiquvchilari endi bu muammoni hal qilishdi.

Dasturiy ta’minot kalit omborlarida ham ko’plab muammolar aniqlandi. Java va Bouncy Castle kalit omborlari konteyner darajasida shifrlanmagan va parol bilan himoyalangan, bu esa mutaxassisning fikriga ko’ra yetarli emas.

Tajriba doirasida mutaxassis zaif ilovalarni buzish uchun ikkita mashhur parol krakerlaridan – Jack the Ripper va Hashcat – foydalangan.

«Hashcat ancha yaxshi natijalarga erishdi. U nafaqat birinchi harfni bosh harf bilan yozish odatini taniydi, balki parol oxiridagi undov belgilarini, shuningdek, to’rtta raqamni ham tekshira oladi, chunki ko’p odamlar sanalarni qo’shadilar», deb ta’kidladi mutaxassis.