اپلیکیشن های اندروید چینی ناامن هستند؟

به گزارش لاکو در یک پژوهش محققان به بررسی تعداد ۱۶۹۹ اپلیکیشن برتر از فروشگاه گوگل پلی و همچنین ۸۱۷ برنامه از فروشگاه شیائومی پرداخته اند. نتایج به دست آمده نشان می دهند که در حدود ۴۷.۶ درصد از اپلیکیشن های موجود در فروشگاه شیائومی برای رمزگذاری ارتباطات شبکه ای خود به روش های اختصاصی و ناامن تکیه می کنند. این عدد در مورد اپلیکیشن های موجود در فروشگاه گوگل پلی تنها 3.51 درصد گزارش شده است. 

این استفاده گسترده از پروتکل های سفارشی و دارای نقص به جای بهره گیری از پروتکل امنیتی لایه انتقال استاندارد (TLS) داده های حساس کاربران را در معرض خطر قرار می دهد.

به نقل از گجت نیوز این گروه تحقیقاتی ابزاری خودکار به نام WireWatch را توسعه داده اند که به جستجو در فروشگاه های برنامه می پردازد با رابط های کاربری برنامه ها تعامل برقرار می کند ترافیک شبکه را ضبط کرده و سپس آن را به منظور شناسایی رمزگذاری های غیراستاندارد دسته بندی می کند.

تحلیل های انجام شده توسط آن ها نشان داد که اپلیکیشن های موجود در فروشگاه شیائومی که اغلب برای بازار چین توسعه یافته اند از رمزگذاری اختصاصی با طراحی ضعیف استفاده می کنند. این برنامه ها که مجموعاً 130 میلیارد دانلود داشته اند شامل نام های شناخته شده ای هستند که توسط کیت های توسعه نرم افزاری (SDK) شرکت هایی نظیر علی بابا و تنست پشتیبانی می شوند.

آسیب پذیری ها در این برنامه ها بسیار آشکار بود. هشت مورد از 9 خانواده پروتکل رایج از جمله Alibaba mPaaS و Tencent DNSPod به دلیل استفاده از کلیدهای ثابت یا روش های رمزنگاری معیوب مانند AES-CBC بدون استفاده از روش پدینگ مناسب درخواست های قابل رمزگشایی ارسال می کردند.

به عنوان نمونه کیت توسعه نرم افزاری mPaaS متعلق به شرکت علی بابا که در برنامه هایی مانند UC Browser مورد استفاده قرار می گیرد داده های مربوط به مرورگر را با یک کلید ثابت که در یک فایل تصویری ذخیره شده رمزگذاری می کند و این کلید به آسانی توسط مهاجمان قابل استخراج است.

این مسئله اطلاعات کاربران از قبیل تاریخچه مرور و فراداده های دستگاه را در معرض خطر شنود شبکه یا حملات میانی قرار می دهد. علاوه بر این 49.1 درصد از برنامه های موجود در فروشگاه شیائومی در اعتبارسنجی گواهینامه های TLS با شکست مواجه می شوند که این امر میزان خطر را افزایش می دهد.

پیامدهای این موضوع به ویژه با در نظر گرفتن مقیاس وسیع آن بسیار قابل توجه است. اپلیکیشن های که بیش از یک میلیارد دانلود شده اند به طور قابل توجهی تحت تأثیر این آسیب پذیری ها قرار گرفته اند.

پژوهشگران این مسائل را با فروشندگان این برنامه ها در میان گذاشته اند و برخی از آن ها مانند iQIYI و تنست تاکنون اصلاحاتی را اعمال کرده اند. یکی از محققان گفته است: «ادامه استفاده از روش های رمزنگاری سفارشی با طراحی ضعیف همچنان یک مشکل اساسی در میان محبوب ترین اپلیکیشن های تلفن همراه در سطح جهان به شمار می رود.»

۵۸۵۸