Приложение за Airdroid уязвимо за атаки на „човек в средата“ [актуализация: фиксирана и подобрена]

Актуализация, 9 декември: Бети Чен, CMO на AirDroid достигна до Android Central с най-новата работа на екипа за отстраняване на уязвимостта. Вижте отговора по-долу:

Току-що завършихме поетапното представяне на AirDroid (Mobile 4.0.0.3; Mac / Win 3.3.5.3) в Google Play Store, той вече е достъпен за всички потребители. В тази актуализация подобрихме механизма си за криптиране, както е планирано, и отстранихме проблема във връзка с неотдавнашното безпокойство относно сигурността на AirDroid.

Проблемът е решен в актуализацията.

Заедно с други подобрения на сигурността, ние надстроихме комуникационните канали до https и подобрихме метода на криптиране.

Поради кросплатформената природа на AirDroid, ни отне понякога да проектираме персонализирано решение и да повишим сигурността си във всички аспекти. Въведохме кодиращата система за преструктуриране в AirDroid4.0 и AirDroid 4.0.0.1, за да се уверим, че съвместимостта работи добре в платформите в края на ноември. След внимателна оценка, ние започнахме частично да пускаме тази актуализация по-рано този месец за всички клиенти, за да се уверим, че гладката комуникация се осъществява добре. Сега най-накрая можем да пуснем тази актуализация напълно, за да отстраним повдигнатия проблем, както и да се уверим, че потребителите ни са по-добре защитени.

Изследване на охранителната фирма Zimperium показа, че популярното приложение за дистанционно управление AirDroid е уязвимо за така наречените атаки "човек-n-the-средата", оставяйки телефоните на потребителите отворени за кражба на данни или, в най-лошия случай, компрометиране на устройството чрез отвличане актуализиране на файл.

Според Zimperium, нападател в същата мрежа като планираната жертва би могъл да прихване данните за удостоверяване и да се представи като потребител, позволявайки да бъдат изложени лични данни - като SMS, обаждания, уведомления или данни за контакт.

Най-сериозно, механизмът, чрез който приложението се актуализира, също може да бъде отвлечен по същия начин, излагайки потребителите на AirDroid да бъдат компрометирани цялото им устройство от злонамерен APK файл. Защитната фирма има пълно доказателство за концепцията на своя сайт, заедно с подробности за това как разкри уязвимостите пред разработчика Sand Studio, започвайки от май 2016 г.

Zimperium казва, че наскоро пуснатите AirDroid 4.0.0 и 4.0.1 остават уязвими към същата уязвимост. За коментар се свързахме с Sand Studio и ще актуализираме тази публикация с всякакъв отговор. Междувременно, ако сте потребител на AirDroid, който осъзнава сигурността, може да искате да помислите за деинсталиране, докато не се появи поправка.

Можете да изтеглите най-новата версия на AirDroid за вашето Android устройство тук. Последната версия на настолното приложение може да бъде изтеглена от уебсайта на AirDroid. Ако сте чест потребител на AirDroid, определено ще искате да изтеглите тези критични актуализации възможно най-скоро.