Что такое утечка приложения на honor

Обновлено: 21.11.2024

Был момент, когда компания Honor имела значительное присутствие на рынке мобильных устройств. Хотя она все еще находилась в тени своей бывшей материнской компании Huawei, на самом деле она отвечала за почти половину поставок, которые оттеснили китайскую компанию на второе место. Его чуть не постигла та же участь, что и Huawei, но ему удалось спастись, будучи проданным консорциуму. В то время как власти США все еще настаивают на том, чтобы Хонор была занесена в черный список, для компании это обычный бизнес. К сожалению, это «как обычно» также означает выпуск флагманских телефонов, которые вы не можете купить, таких как грядущие Honor 60 и Honor 60 Pro.

На самом деле компания Honor выпустила модели Honor 50 и Honor 50 Pro не так давно. На самом деле, только в прошлом месяце эти телефоны стали доступны на мировых рынках. Особенность этих двух телефонов заключается в том, что они стали первыми телефонами Honor, в которых снова используются продукты из США, такие как процессоры Qualcomm и магазин Google Play, после продажи суббренда Huawei.

Учитывая небольшой разрыв между ними, вероятно, неудивительно, что Honor 60, представленный 91mobiles, не сильно отличается от Honor 50, который, в свою очередь, выглядит как точная копия Huawei P50, но с к счастью, менее неприятный удар камеры. На самом деле, в большинстве случаев он действительно похож на Honor 50 и Honor 50 Pro внутри.

Самое заметное обновление для Honor 60 — это размер экрана, который находится между Honor 50 и Honor 50 Pro с 6,67-дюймовым OLED-дисплеем FHD+. Процессор внутри также немного уступает Snapdragon 778G+ 5G, хотя 12 ГБ ОЗУ и 256 ГБ памяти напоминают некоторые параметры конфигурации, доступные для серии Honor 50. Телефон будет запущен с MagicUI 5.0 от Honor, но не заблуждайтесь, он по-прежнему основан на Android 11.

Просочившийся набор камер Honor 60 звучит точно так же, как у Honor 50, и на самом деле его можно даже рассматривать как понижение. Есть 108-мегапиксельная основная камера с апертурой f/1.9, 8-мегапиксельная сверхширокоугольная камера с апертурой f/2.0 и 2-мегапиксельный датчик глубины с диафрагмой f/2.4, за исключением 2-мегапиксельной макрокамеры, которую, вероятно, мало кто использует. Утечка не содержит подробностей о Honor 60 Pro, но если говорить о непрофессиональной модели, мы тоже не будем задерживать дыхание.

Honor получил широкую похвалу за то, что сделал высокотехнологичные телефоны Huawei доступными по более доступным ценам, сняв несколько углов для достижения этой цели. Однако, похоже, он отстал, теперь сосредоточившись в основном на рынке среднего класса, который на данный момент уже переполнен слишком большим количеством вариантов. Слишком раннее появление Honor 60, слишком похожего на Honor 50, также немного сбивает с толку, но это может не иметь значения для таких рынков, как США, где телефоны Honor все равно недоступны.

Из многих популярных приложений для Android происходит утечка конфиденциальных данных. Мы обнаружили, что другое популярное приложение Google Play, Camera360 Ultimate, не только улучшает фотографии пользователей, но и непреднамеренно допускает утечку конфиденциальных данных, что дает злоумышленникам несанкционированный доступ к учетным записям и фотографиям пользователей Camera360 Cloud.

До этого открытия исследователи FireEye обнаружили уязвимости SSL в широко используемом приложении Camere360 и многих других популярных приложениях. Эти уязвимости использовались для атак типа «человек посередине» (MITM) и представляли серьезную угрозу конфиденциальности пользователей.

Разработчикам приложений для Android следует принять более строгие меры безопасности, чтобы обеспечить своим клиентам более безопасные мобильные возможности.

Обзор и введение

Доступ к облаку защищен именем пользователя и паролем. Но когда приложение получает доступ к облаку, оно передает конфиденциальные данные в незашифрованном виде в системный журнал Android (logcat) и сетевой трафик. Приложения, которые могут читать logcat или перехватывать сетевой трафик, могут украсть эти данные. Злоумышленник, присутствующий в вашей сети Wi-Fi, также может украсть эти данные с помощью перехвата WiFi.

Утечка данных может быть использована для загрузки всех изображений пользователя, кроме тех, что находятся в его «секретном альбоме». Опция «Секретный альбом» использует дополнительный пароль для защиты важных изображений. Это конкретное приложение для Android не имеет доступа к этим секретным изображениям, и все изображения, загружаемые с устройства в облако, по умолчанию не являются секретными.

Мы проанализировали последнюю версию Camera360, 6.2 и предыдущие версии: 6.1.2, 6.1.1 и 6.1. Мы обнаружили утечку данных во всех этих версиях.

Утечка данных может быть использована для несанкционированного доступа к изображениям пользователей следующими способами:

  • Создание нового сеанса входа с использованием утекших учетных данных. Затем получение ключей изображений с сервера и их использование для загрузки изображений
  • Захват сеанса входа с использованием утекшего токена для загрузки изображений.
  • Использование утекших ключей изображений для загрузки изображений без аутентификации

Кроме того, изображения в захваченном сетевом трафике можно легко извлечь и просмотреть.

Дополнительная информация представлена ​​ниже.

Создание сеанса входа

Camera 360 регистрирует адреса электронной почты пользователей, хэши паролей и другие связанные данные. При утечке этих данных их можно использовать для создания отдельного сеанса входа в систему. В ответ на запрос на вход сервер возвращает токен, идентификатор пользователя и другую информацию об учетной записи. Этот токен и идентификатор пользователя можно использовать для получения ключей всех несекретных изображений с сервера. С помощью этих ключей можно загрузить все соответствующие изображения.

На рис. 1 показано сообщение журнала, созданное во время нашего теста:

Рисунок 1

Рисунок 2

Любое приложение, которое может читать logcat, может украсть эти зарегистрированные данные и создать свой собственный сеанс входа в систему. Logcat можно прочитать, получив разрешение READ_LOGS, которое доступно для всех приложений, работающих на Android 4.0 и более ранних версиях, но начиная с Android 4.1 (Jelly Bean) это разрешение больше не предоставляется сторонним приложениям. Однако на корневых устройствах приложения могут повысить свой уровень привилегий, чтобы получить это разрешение.

Путем реинжиниринга приложения мы также обнаружили, что хэш пароля представляет собой двойной MD5 исходного пароля и не содержит солей. Злоумышленники могут получить исходный пароль, используя атаку по словарю, радужную таблицу или перебор, чтобы сгенерировать строку, соответствующую хеш-значению. Взлом пароля не требуется, так как хэш может быть напрямую использован для создания сеанса входа в систему. Хэш пароля и украденный адрес электронной почты можно использовать для входа в приложение Camera 360 или в облако.

Захват сеансов с использованием утечек токенов

В ответ на запрос приложения на вход сервер возвращает токен, идентификатор пользователя и некоторую другую информацию об учетной записи. Приложение Camera 360 использует этот токен и идентификатор пользователя в своих следующих запросах для аутентификации.

Ответ сервера для нашей тестовой учетной записи показан на рис. 3: Рис. 3

Этот токен является бессрочным и постоянным. Он остается действительным даже после выхода пользователя из системы, поскольку переменные сеанса удаляются только на стороне клиента, а не на стороне сервера. Таким образом, с помощью этого токена можно отправлять успешные запросы из любого места в любое время.

Приложение Camera 360 передает эти токены вместе с идентификатором пользователя, другими данными, связанными с приложением и устройством, в logcat и сетевым трафиком. Любое приложение для Android, которое может читать logcat, и любой сетевой сниффер, работающий на устройстве или в сети Wi-Fi устройства, может украсть эти данные. Эти просочившиеся данные могут быть использованы для отправки несанкционированных запросов на сервер и загрузки всех несекретных изображений из облака.

Данные утекли в logcat

Приложение Camera 360 передает данные в logcat во время входа в систему и всякий раз, когда пользователи открывают свои действия, связанные с облачной учетной записью.

Два примера сообщений журнала, которые они получают, приведены на рис. 4:

Рисунок 4

В приведенных выше сообщениях для "uid" и "userId" задан один и тот же идентификатор пользователя. Значения "token", "userToken" и "localkey" равны одному и тому же токену.

Данные просочились в сетевой трафик

Рисунок 5

Использование токена и идентификатора пользователя для загрузки изображений

Утечка токена, идентификатора пользователя и других данных, связанных с приложением, можно использовать в любом из следующих запросов для получения доступа к изображениям пользователей:

Рисунок 6

Получение ключей изображения

Ответ для "http://cloud.camera360.com/v2/page/timeline."

Рисунок 7

Ответ на "http://cloud.camera360.com/v2/page/getNew."

Рисунок 8

Рисунок 9

Обход страницы входа в веб-облако

Запросы HTTP GET, которые используются для получения ключей изображения, также можно использовать для обхода экрана входа в веб-облако camera360, "https://cloud.camera360.com/login". Выполнение любого из этих запросов в веб-браузере приводит к входу пользователя в веб-службу, поскольку эти запросы содержат маркер аутентификации. Пользователю предлагается ввести один из этих URL-адресов на вкладке браузера, после чего перейти на домашнюю страницу облака, в результате чего пользователь войдет в систему.

Скачивание изображения с помощью утекших ключей изображения

Действие «Облачный альбом» приложения Camera 360 извлекает ключи последнего изображения (не секретного изображения) с сервера для отображения сохраненных облачных изображений пользователю. Он записывает полученный ответ сервера в logcat. Одно из таких сообщений показано на рисунке 10:

Рисунок 10

Рисунок 11

Это постоянная ссылка на изображение без срока действия. Эту ссылку можно использовать для загрузки изображения без предоставления учетных данных или токена аутентификации.

Извлечение изображения из захваченного трафика

Изображения, собранные с сервера, можно извлечь из захваченного сетевого трафика. Они не зашифрованы и легко просматриваются.

Необходимо усилить безопасность облачных и Android-приложений, чтобы предотвратить дальнейшую утечку данных и несанкционированный доступ к ним. Для этого можно использовать следующие методы:

  • Не записывайте конфиденциальные данные в системный журнал Android (logcat) в любых рабочих приложениях.
  • Примите меры для предотвращения перехвата сеанса, используя следующие методы:
  • Шифруйте не только процесс входа в систему, но и другие транзакции, связанные с конфиденциальными данными, такими как токен, идентификатор пользователя, ключи изображений и файлы изображений.
  • Установите отметку времени истечения срока действия токенов.
  • При отправке запроса на выход правильно удалите все переменные сеанса со стороны сервера. Не принимайте ранее выпущенные токены.
  • Сервер может изменять токен при каждом запросе. Это ограничит окно, в котором хакер может атаковать.
  • Токен можно привязать к IP-адресу, но это может быть неудобно для пользователей, использующих динамический IP-адрес.
  • Постоянная ссылка на изображения, например "http://dn-c360.qbox.me/[KEY]", должна требовать аутентификации. Или сделайте ссылку на изображение с истекающим сроком действия вместо постоянной..

Camera360 передает конфиденциальные незашифрованные данные как в сетевой трафик, так и в системный журнал Android, что ставит под угрозу конфиденциальность пользователя. Ниже приводится краткое изложение утечки данных:

  • Неограниченный и постоянный токен авторизации просочился вместе с идентификатором пользователя, который можно использовать для несанкционированного доступа к учетной записи пользователя и фотографиям из любого места в любое время. Утечка данных может быть использована следующими способами:
  1. Обход страницы входа в веб-облако https://cloud.camera360.com/login для доступа к аккаунту пользователя и фотографиям
  2. Получение постоянных ключей изображений с сервера и их использование для загрузки изображений.
  • Утечка постоянных и бессрочных ключей изображений, которые можно использовать для загрузки изображений без предоставления учетных данных или токена.
  • В сетевой трафик отправляются незашифрованные изображения, которые злоумышленники могут украсть с помощью анализатора сети.
  • Утечка адресов электронной почты и хэшей паролей может использоваться для отправки несанкционированного запроса на вход на сервер
  • Пароли пользователей можно получить, взломав хэш паролей, утекший в сеть. Для входа в облачный сервис можно использовать хеши паролей и просочившиеся адреса электронной почты.

Крайне важно, чтобы разработчики Android-приложений улучшили безопасность, чтобы предоставить пользователям лучшую и более защищенную среду Android.

Платформа FireEye Mobile Threat Prevention Platform выявляет критическую утечку данных и уязвимости, обнаруженные в приложениях Android, и помогает пользователям принимать взвешенные решения об обмене личными данными с приложениями.

Android 12 настолько новый, что краска еще не сохнет, а Android 12L все еще находится в стадии бета-тестирования. Но подробности о следующей основной версии Android начинают просачиваться.

Хотя Android 13, скорее всего, не будет выпущен до осени 2022 года, сотрудники xda-developers получили серию снимков экрана, на которых показаны некоторые изменения, над которыми работает Google, а Мишаал Рахман заметил фиксацию кода, намекающую на другую предстоящая функция.

xda-разработчики

До следующей осени еще есть много времени, чтобы что-то изменить, поэтому, вероятно, лучше относиться ко всему с недоверием. Даже если утечки достоверны, они показывают нам только то, над чем Google работает сегодня, а не то, что компания на самом деле представит завтра.

Но вот некоторые основные моменты:

Согласно xda-developers, Android 13 носит кодовое название «Тирамису», что соответствует долгой истории Google с кодовыми названиями пустыни или «вкусного угощения». Но компания некоторое время назад перестала публично использовать эти имена, так что это скорее пустяки, чем что-то существенное в грядущей операционной системе.

Обязательно посетите сайт xda-developers, чтобы увидеть больше скриншотов многих новых функций.

Поддержать лилипутацию

Основными источниками дохода Liliputing являются реклама и партнерские ссылки (например, если вы нажмете кнопку "Магазин" вверху страницы и купите что-нибудь на Amazon, мы получим небольшую комиссию).

Но есть несколько способов поддержать сайт напрямую, даже если вы используете блокировщик рекламы* и ненавидите покупки в Интернете.

Внесите свой вклад в нашу кампанию на Patreon

Пожертвовать через PayPal

* Если вы используете блокировщик рекламы, такой как uBlock Origin, и видите всплывающее сообщение внизу экрана, у нас есть руководство, которое может помочь вам отключить его.

Оставить комментарий

Этот сайт использует Akismet для уменьшения количества спама. Узнайте, как обрабатываются данные ваших комментариев.

Подписаться

Избранные статьи

Последние предложения

Поскольку выпуск Honor 30S намечен на пять дней, мы получили более подробную информацию о его более дорогом собрате, Honor 30. Хотя пока неизвестно, когда будет выпущен последний телефон, мы знаем, что он сможет выстоять в отделе камер, возможно, даже против самого дорогого предложения Samsung, Galaxy S20 Ultra.

Слайды, опубликованные Slashleaks (через GSMArena), показывают, что основной датчик телефона будет примерно такого же размера, как у Galaxy S20 Ultra. Два телефона выпускаются с размерами 1/1,3 дюйма и 1/1,33 дюйма. Для тех, чья математика немного заржавела, поскольку знаменатель для S20 Ultra немного больше, датчик Honor 30 должен фактически немного опережать их по размеру.

Однако гораздо важнее разница в размере пикселя каждого сенсора. Пиксели датчика изображения Samsung Galaxy S20 Ultra имеют размер 0,8 мкм, а датчик Sony Honor 30 — 1,2 мкм, где большее число лучше. Это, безусловно, даст суббренду Huawei преимущество в съемке при слабом освещении.

Тем не менее, в чем телефон Samsung безоговорочно выигрывает, так это в количестве мегапикселей. На данный момент это один из очень немногих телефонов на рынке со 108-мегапиксельной камерой — почему Samsung берет за него большие деньги — в то время как Honor 30 оснащен более типичной 48-мегапиксельной камерой.

Кроме того, хотя Honor 30, скорее всего, будет соответствовать S20 Ultra по количеству камер на задней панели (как минимум четыре), еще предстоит выяснить, как все это устроено. Например, компания Samsung использовала потрясающие инженерные решения для достижения сумасшедших уровней оптического зума на своем телефоне, и маловероятно, что Honor предложит такой же уровень точности изображения. Для этого вам, вероятно, придется подождать линейки Huawei P40.

В Nokia 808 используется 41,3-мегапиксельная 1/1,2-дюймовая CMOS-матрица FSI с разрешением 7728x5368 пикселей. Размер пикселя 1,4 мкм; размер датчика 10,67 × 8,00 мм. 8 лет назад это был сенсор камеры для смартфонов-монстров с большим сенсором и большими пикселями, чем у лучших современных смартфонов с большим сенсором. Мне не терпится получить более новый телефон с большим сенсором, но, поскольку я нахожусь в США и на данный момент привязан к оператору связи, мой единственный вариант — это доставка Samsung сенсора камеры.

Информационный бюллетень Android Central

Каждый день получайте лучшее из Android Central в свой почтовый ящик!

Благодарим вас за регистрацию в Android Central. Вскоре вы получите электронное письмо с подтверждением.

Возникла проблема. Обновите страницу и повторите попытку.

Отправляя свою информацию, вы соглашаетесь с Условиями использования и Политикой конфиденциальности и вам исполнилось 16 лет.

Читайте также: