Check Point揭露安卓破绽 华为/Sony手机恐受“骇”

作者: 恒达平台 分类: 恒达平台 发布时间: 2019-09-13 14:37
恒达平台网址 手机恐受“骇”
 
 
网络平安处理计划厂商Check Point Software Technologies Ltd.的要挟情报部门Check Point Research表示,恒达平台开户三星、华为、LG、Sony及其他Android作业系统的手机存在平安性破绽,招致运用者容易遭到进阶网络钓鱼攻击。
 
Check Point Research指出,受影响的Android手机采用无线更新技术(over-the-air provisioning,OTA provisioning),经过此配置,电信业者能将网络特定设置部署到新衔接至网络的手机。但Check Point Research 发现,OTA产业规范-开放行动联盟用户端配置(Open Mobile Alliance Client Provisioning,OMA CP)采用有限的身份考证办法,远端代理能应用这一点假装成电信业者,并向运用者发送假OMA CP信息,以此诱骗运用者承受歹意设置,如经过骇客手中的代理伺服器传输网络流量。
 
研讨人员指出,某些三星手机没有对OMA CP信息寄件者停止真实性检查,因而最容易遭到此方式的网络钓鱼攻击—只需求运用者承受OMA CP,歹意软件即可装置,且无需寄件者证明其身份。
 
华为、LG和Sony手机固然设有一种身份考证方式,但骇客只需收件人的IMSI(International Mobile Subscriber Identity,国际挪动用户分辨码)便可“确认”其身份。攻击者可以经过各种方式获取受害者的辨认码,包括树立一个歹意Android应用程序,在装置后读取手机的辨认码。此外, 恒达注册 攻击者还能够假装成电信业者向运用者传送短信,请求他们承受PIN码维护的OMA CP,绕过对IMSI的请求;假如运用者随之输入提供的PIN码并承受此信息,则无需辨认码即可装置OMA CP。
 
Check Point研讨人员Slava Makkaveev表示:“考量到Android安装的普遍性,这是一个必需处理的严重破绽。假如没有更平安的身份考证方式,歹意代理就能轻松经过无线安装发起网络钓鱼攻击。当收到OMA CP信息时,运用者无法分辨其能否来自可信任来源。在点击‘承受’后,手机很可能遭到攻击者骇入。”
 
Check Point在3月向受影响的厂商发布研讨结果。三星在其5月平安维护版本(SVE-2019-14073)中提供了针对此网络钓鱼攻击的修复程式,LG于7月发布了修复程式(LVE-SMP-190006),华为方案把OMA CP的UI修复程式归入新一代Mate系列或P系列智能手机中。Sony回绝供认该破绽存在,表示其安装遵照OMA CP标准。
 

如果觉得我的文章对您有用,请随意打赏。您的支持将鼓励我继续创作!