Уязвимость Android KeyStore затрагивает 10% устройств на мобильной системе от Google

Исследователи из компании IBM опубликовали в конце июня сведения относительно обнаруженной ими в системе безопасности мобильной платформы Android уязвимости. Она затрагивает 10,3% Android-аппаратов и позволяет злоумышленникам получить персональные данные пользователей, такие как криптографические ключи ряда банковских сервисов и сетей VPN, а также используемые для разблокировки устройств ПИН-коды.

Уязвимость находится в Android KeyStore, сегменте системы от Google, где хранятся ключи криптографического шифрования. Используя её, можно осуществить удалённое выполнение кода, которое и приводит к получению вышеназванных данных. Лазейка была закрыта в последней версии системы, Android 4.4 KitKat, а незащищёнными перед ней остаются устройства на Android 4.3, доля которых и составляет 10,3%.

Чтобы добиться цели, злоумышленникам потребуется обойти функции безопасности - предотвращение выполнения данных (data execution prevention) и рандомизация адресного пространства (address space layout randomization). Помимо этого, на аппарат должно быть установлены приложения, хранящие логин и пароль.

В результате пользователям, которые проводят на Android 4.3 какие-либо операции с финансами, рекомендуется устанавливать только заслуживающие доверия приложения из магазина Play Store. Другим советом является каждый раз при входе в приложение вводить свои логин и пароль (чего требуют большинство банковских приложений), не давая программе запоминать их для автоматического входа.