Proponha uma correção, faça uma sugestão
Android continua a não ser seguro! 86% equipamentos afectados
Sistema permite que se obtenham credenciais e outra informação sensível
Quando se fala em vulnerabilidades/malware no segmento dos dispositivos móveis, o Android é o primeiro a quem se aponta o dedo. As notícias dos últimos anos tentam “vender”, de certa forma, que esta plataforma é uma das mais vulneráveis, mas também há quem defenda que o Android é quase impenetrável ao nível do malware.
Mas, investigadores da IBM referem agora que 86% de smartphones Android estão vulneráveis a ataques.
A vulnerabilidade agora descoberta por investigadores da IBM reside no Android KeyStore, um zona sensível do sistema operativo da Google e que é responsável por guardar chaves criptográficas responsáveis para garantir a cifra de informação sensível.
O seguinte diagrama ilustra o funcionamento do Android Keystore
Nota: Toda a vulnerabilidade está detalhada aqui
Explorando este bug, os investigadores referem que é possível executar código malicioso capaz de “roubar” dados sensíveis como é o caso do PIN, credenciais de acesso ao banco online, VPNs, etc. Actualmente, este problema tem correcção no Android 4.4, mas 86.4% dos equipamentos ainda não tem solução.
Este artigo tem mais de um ano
Loading ...
Para isso e que foi o update para o 4.4.4 ou estou errado? Mas dada a dificuldade de alguns aparalhos que demoram a actualizar, este tipos de problemas demoram a ser resolvidos, nao so por culpa da google, que ja podia ter tratado de arranjar um método de actualização mais versátil para tudo e todos os dispositivos, mas tbm principalmente por causa das marcas e operadoras, que suporto a novas versões são mto lentos em comparação a google e marcas como a htc e LG.
Tbm temos de contar que telemóveis na candonga metem para android e depois actualizações nunca ver, isso tbm ajuda nesses números ;/
Como nota, os Google Play Services também existem para resolver falhas de segurança nos dispositivos e são abstratos às alterações de qualquer marca e operadora, sendo atualizados automaticamente em todos os dispositivos em uma ou duas semanas. Esta foi a resposta da Google à falta de preocupação de muitos OEMs.
O meu único problema com esta falha é que não me parece ser corrigível através dos serviços…
Sim no futuro muitos dos problemas de segurança vão ser resolvidos pelo play services.
Mas acho que esta mais na altura de as marcas ganharem consciência e pelo menos dar os 18 meses de suporte a tempo e horas! Acho que as coisas vão acabar por melhorar, como é o exemplo da motorola.
O meu Nexus 7 foi actualizado para o 4.4.4 pela Google no mesmo dia em que recebia da CyanogenMod o 4.4.4 para o Galaxy S2. Lindo…!!!
Nunca deixo de ficar espantado com falhas relacionadas com buffer overflow. Os tipos que programam isto acham que uns ifs a validar ranges é que vão afetar a performance do sistema?
Enfim… Gosto bastante de C e C++ por permitirem uma certa “agilidade” a quem programa, mas começa-se a notar que muitos destes problemas seriam facilmente evitados utilizando linguagens mais high level… Ainda há uns tempos foi o mesmo stress com uns goto não executados na validação de certificados digitais em dispositivos Apple, agora este stress no Android.
Felizmente que cá em casa este problema está corrigido em todos os dispositivos mas, tal como diz o artigo, ainda há por aí muitos com falhas, e como este é uma falha no core do Android, não me parece que seja corrigível pelos Google Play Services…
Realmente sempre achei uma grande falha da linguagem em si (C / C++) deixar ir buscar coisas à memória aleatóriamente, é também o problema por detrás do heartbleed do openssl. Como até aí disseram, a Google até foi diligente a resolver o bug, agora falta é as marcas actualizarem. Eu no meu nexus sempre teve actualizado eheh
O C/C++ deixa fazer isso porque são linguagens que podem ser utilizadas em níveis de abstracção mais baixos. Mas certamente haverá bibliotecas para validares essas coisas sem problema.
Linguagens de mais alto significa mais overhead.
Tal como utilizar C tem overhead em relação a assembly, no entanto as vantagens de optimização de código por compiladores mais modernos, facilidade de leitura do código, maior produtividade, entre outras vantagens, fez com que já ninguém programe diretamente em assembly, tirando alguns casos mais low level (microcontroladores por exemplo). O mesmo se aplicam a padrões de desenho, em que o benefício de um maior desacoplamento, facilidade em testes unitários e entendimento global da aplicação justificam a perda de alguma performance.
Alguma vez olhaste sequer para o kernel de um Linux, ou outras bibliotecas utilitárias desenvolvidas em C? Se nunca olhaste, vai ver e depois diz-me se facilmente consegues perceber o que um determinado método está a fazer quando vez para lá shifts, ciclos que só te apercebes que o são analisando bem o código, ou se estás a aceder ao local certo através de um ponteiro… E isto sem meter macros e definição de nomes ao barulho…
Se a tua ideia é optimizar o código, garanto-te que um compilador faz um melhor trabalho que tu, principalmente em linguagens não “ambíguas”.
então e as aplicações para android não são feitas em Java?
Android: o Windows dos smartphones.
Então é bom sinal! Não é por acaso que é o sistema operativo mais utilizado em todo o mundo desde os anos 80!!
nao por muito tempo, ao contrario do android, até agora o windows nunca teve concorrência a serio..
Se formos a ver o preço dos produtos da Apple, então acho que a Google nunca teve verdadeiramente concorrência nas gamas média e baixa! E vendo que a gama média/baixa representam cerca de 80% das vendas deste tipo de dispositivos, a Google certamente nem precisaria de investir em dispositivos de gama elevada para ser mais rentável. Daí não acreditar que em momento algum a plataforma Android esteja ameaçada!
??? e qual é o SO que não tem bugs, falhas de segurança, blá, blá, blá ???
@pplware,
Desde que disponibilizaram a funcionalidade partilha que reparo que nunca há partilhas para o Google+. Posso usar litermente a palavra NUNCA, porque é um facto que nunca vi uma uma partilha para esta rede social.
Está previsto algum artigo com estatísticas das partilhas?
Boas Sérgio,
Estive a confirmar e está tudo ok: Verifica aqui https://plus.google.com/+pplware
Penso que o que o Sérgio se refere é aos botões de partilha no fim de cada artigo, nos do facebook, twitter e linkedin vê-se o numero de partilhas e no do google plus não, mesmo que tenha algumas. Pode ser disto: http://wordpress.org/support/topic/google-not-showing-a-counter
(ainda não existe api publica do google plus).
É mesmo isso. Obrigado.
Eu costumo ver os artigos directamente do Google+ ou pela App Pplware. É raro fazer as repartilhas atravez do site buttons. Uso sempre o share no browser, no G+ ou na App, depende de onde estou a ver o artigo.
A futura versão do android vem acabar com isto, ou seja, os updates vai ser todos diretos da google, ficando todos os aparelhos sempre atualizados. Querem segurança no Android? Comprem um nexus e assunto resolvido.
Nesse aspecto a Apple tem sido fortíssima! Por isso é com agrado que vejo finalmente a Google a caminhar nesse sentido. É lamentavel muitos telefones de gama média serem lançados no mercado e nem terem direito a uma actualização.
É fácil… não comprem a essas marcas… comprem Nexus como eu comprei e têm actualizações.
Quando acabar as actualizações da Google, tenho as do XDA ainda mais rápidas.
Assim as marcas aprenderão. Não é sustentável (e é até estúpido) andar a comprar telemóveis de ano a ano… quem faz isso devia meter a mão na consciência e olhar para o sítio onde vivemos!
Na época em que se usava os “Tijolos” não havia destas falhas de segurança, ainda tenho o meu, e espero que ele dure muito tempo. =P
A discussão em torno da linguagem de programação é interessante. O C dá a flexibilidade necessária aos programadores de criar os seus programas tornando-os mais rápidos e menos consumidores de recursos (algo
importante num smartphone ou tablet) face a outras linguagens alto nível mas é necessária uma cultura maior de segurança informática. No curso de Licenciatura em Segurança Informática em Redes de Computadores na ESTGF
este assunto é muito debatido. Ensinam-nos a programar mas temos também muitas cadeiras em que avaliamos a segurança do código desenvolvido. É preciso que os programadores tenham consciência daquilo que fazem para
evitar estes problemas.