ליקוי אבטחה משמעותי שנמצא ב- miui: יישומי אבטחה של צד שלישי יכולים להיות ...

עולם האינטרנט המתרחב במהירות מורגש על ידי מספר פגיעויות אבטחה הנובעות מכך, ו- eScan Antivirus מבוסס הודו פרסם דוח שמציע פגמי אבטחה מרובים שנמצאו במכשירי Xiaomi שמפעילים מערכת הפעלה MIUI.

עם נתח שוק של 13 אחוזים, שיאומי היא כיום אחד ממותגי הסמארטפונים המובילים בהודו, שהוא שוק הסמארטפונים השני בגודלו בעולם, ממש אחרי סין.

המחקר של eScan מצביע על ליקויים רבים במערכת ההפעלה MIUI המסוגלת להכניס פגיעויות למשתמשים קצה כמו גם לאפליקציות אבטחה.

אפליקציית המערכת של MIUI המטפלת בהסרת התקנת האפליקציות מהווה איום משמעותי על אפליקציות האבטחה. החוקרים מציינים כי היישומים הללו בעת ביטול ההתקנה היו מבקשים סיסמה בכל המכשירים האחרים, אם כי ב- MIUI, האפליקציות הללו אינן מותקנות ללא צורך בסיסמה.

ליקוי אבטחה חשוב נוסף שציין החוקרים היה כי אפליקציית Mi Mover אינה דורשת סיסמה בעת העברת נתונים ממכשיר למכשיר.

"מבחינת אבטחה, תהליך ההסרה של התקנה המיושמת ב- MIUI מהווה איום אבטחה משמעותי מכיוון שעוקף תהליך האימות המיושם על ידי האפליקציה", הוסיפו.

בעיות אבטחה שנמצאו על ידי eScan

חוקרים ב- eScan מצאו את הבעיות הבאות במערכת ההפעלה MIUI של Xiaomi.

• אפליקציית MI-Mover מבטלת את ארגז החול של היישום של מערכת ההפעלה אנדרואיד
• ניתן להסיר התקנה של כל אפליקציית מנהל התקנים מבלי לשלול את זכויות המנהל שלה
• ניתן לשכפל את Xiaomi עם MI-Mover תוך מספר דקות מבלי שתצטרך להכות את המכשיר
• מכשירי MIUI ולא מוחקים, מסתיר את אפליקציית ניהול פרופילי העבודה
• לא ניתן להבדיל בין פרופילי סביבת עבודה לפרופיל האישי המהווה אתגר רציני מנקודת המבט הביטחונית בניהול ניידות ארגונית

GT בדקה גם את הפגיעות באבטחה

מבין כל הנושאים הללו, הנושאים הדוחקים והנפוצים ביותר הם הפגיעויות התוקפות אפליקציות אבטחה ועוד אחת הקשורה למי מובר.

בשיחה עם GuidingTech, דובר Xiaomi הדגיש בעקביות על העובדה כי סורק הסיכה / התבנית / טביעות האצבע של המכשיר הוא המחסום הראשון של כניסה בלתי רצויה וכדי לנצל כל אחת מהפגיעויות שהוזכרו במחקר, יש לשבור את מחסום האבטחה הזה.

מבחן אפליקציות אבטחה

ראשית, בדקנו את פגיעות האבטחה הקובעת כי ניתן למחוק כל אפליקציה שיש לה הרשאת מנהל התקנים מבלי לשלול זכויות אלה.

כשלעצמה התקנו את אפליקציית Cerberus נגד גניבה במכשיר ה- Xiaomi Mi Max 2 ומכשירים שאינם Xiaomi (כדי לשמש כבקרה). בעת הסרת ההתקנה של אפליקציית Cerebrus במכשיר ה- OnePlus 5 ו- Samsung Galaxy J7 Max (שניהם פועלים במכשיר אנדרואיד 7), הטלפון מבקש את סיסמת המערכת כמו גם את סיסמת האפליקציה של Cerberus.

אבל כאשר ניסינו להסיר את Cerberus ממכשיר ה- Mi Max 2, האפליקציה פשוט הוסרה מבלי לבקש תשומות נוספות - קרא סיסמא.

קרא גם: 5 ניסיונות הוא כל מה שנדרש כדי לפצח את נעילת דפוס אנדרואיד שלך

מבחן Mi Mover

בהצהרתם ל- GuidingTech ציין דובר Xiaomi כי יש צורך בסיסמה כדי להשתמש ב- Mi Mover במכשיר.

אז מצאנו שני מכשירי Xiaomi - Mi Max 2 ו- Redmi 4A -, שמו עליהם מנעולי טביעות אצבע ותבניות ובדקנו את התכונה Mi Mover. להפתעתנו (או לא!) אפליקציית Mi Mover לא ביקשה סיסמה כלשהי.

זה פשוט שאל אותנו מי הולך לשלוח את הנתונים, מי הולך לקבל אותם ומה צריך לשלוח את כל נתוני המערכת או האפליקציה. וואלה! העברת הנתונים התחילה ללא צורך בקליטת סיסמה לפני או אחרי שאפליקציית Mi Mover השלימה את העברת הנתונים.

פגיעות זו היא קריטית גם מכיוון שמי שמשיג גישה למכשיר ה- Xiaomi הלא נעול שלך יכול לשבט בקלות את כל תוכן ההתקן, כולל נתוני מערכת ואפליקציה בציוץ.

Xiaomi התמקדה בכך ששכבת האבטחה הראשונה היא נעילת הטלפון, אך אפילו בטלפון לא נעול, ישנן הנחיות אחרות באנדרואיד שצריך למקם בכדי למנוע נזק נוסף - סיסמאות 2FA וספציפיות לאפליקציות.

מה שאומרת שיאומי

להלן ההצהרה השלמה של שיאומי:

אסקאן שיתף מוקדם יותר היום דוח שמפרט את מעט החששות ב- MIUI. אנו מסכימים מאוד עם ההאשמות שמסר אסקן בדו"ח שלהן. כחברת אינטרנט גלובלית, Xiaomi נוקטת בכל הצעדים האפשריים כדי להבטיח שהמכשירים והשירותים שלנו יצייתו למדיניות הפרטיות שלנו.

כל עבריין שמשיג גישה פיזית לטלפון לא נעול מסוגל לפעילות זדונית וטלפון לא נעול נמצא בסיכון רב לגניבת נתוני משתמשים.

זו הסיבה, אנו ב- Xiaomi מעודדים את המשתמשים שלנו להיות מודעים יותר לשמירה על הנתונים הפרטיים שלהם באמצעות קוד PIN, מנעולי דפוס, או חיישן טביעות האצבע המשולב הזמין ברוב הטלפונים החכמים שלנו. למעשה, הנחיית משתמשים לאפשר נעילת טביעות אצבע היא צעד רגיל בעת הגדרת סמארטפון של Xiaomi לשימוש ראשון.

Mi Mover נועד להיות כלי נוח למשתמשים שלנו להעביר את הנתונים שלהם מסמארטפון ישן לטלפון חדש. על מנת ש- Mi Mover יתחיל בתהליך זה, יש צורך בסיסמה.

חשוב יותר, על מנת להשתמש ב- Mi Mover, יש לפתוח את הסמארטפון.

לפיכך, קיימות שתי שכבות הגנה למשתמש - נעילת טלפון וסיסמת Mi Mover הנחוצות.