Уязвимость в андроидной версии WhatsApp; Бэкдор в Samsung Galaxy; Депутаты узнали о существовании прокси-серверов; Лишний goto поломал SSL/TLS в iOS ; Исследование безопасности CMS.

#351, 13.03.2014

Уязвимость в андроидной версии WhatsApp
dl // 13.03.14 15:53
Локальное хранилище сообщений мессенджера WhatsApp (точнее, его бэкап на карту, который делает сама программа) легко может быть прочитано любым другим андроид-приложением, имеющим доступ к SD-карте (что, как правило, не проблема). Несмотря на то, что последние версии WhatsApp делают вид, что шифруют базу сообщений, информация из нее легко вытаскивается с помощью Whatsapp Xtract: Backup Messages Extractor.
Источник: InfoWorld

Бэкдор в Samsung Galaxy
dl // 13.03.14 15:39
Разработчики бесплатной версии Андроида Replicant заявили, что обнаружили уязвимость в ряде смартфонов и планшетов семейства Galaxy, позволяющую потенциальному взломщику получить удаленный доступ к файловой системе.

Уязвимость находится в ПО, обеспечиваюшем связь между ОС и радиомодемом устройства. Во всех android-устройствах разработка подобного кода, привязанного к железу, является личным делом разработчика аппаратной части. В случае Samsung взаимодействие с модемом осуществляется по протоколу, содержащему полный набор команд для осуществления всех основных операций над файловой системой. На некоторых устройствах это ПО выполняется с правами, достаточными для доступа к пользовательским данным.

Строго говоря, ничего особо нового в этом сообщении нет - модем по сути является отдельным микропроцессором, работающим под управлением самостоятельной операционной системы, которая вполне может принимать снаружи любые команды. Просто в данном случае есть конкретный пример реализации протокола, позволяющего модему захватить управление остальной частью устройства.
Источник: The Register

Депутаты узнали о существовании прокси-серверов
dl // 24.02.14 14:30
Депутаты Госдумы озаботились тем, что "Яндекс.Браузер" с включенным режимом "Турбо" позволяет просматривать сайты, внесенные в черный список Роскомнадзора. Провайдеры в этом случае не могут их блокировать, поскольку пользовательский трафик шифруется, и информация доходит до пользователей в том виде, в каком она попадает на прокси-серверы Яндекса. Абсолютно тот же способ обхода запретов давно доступен пользователям Оперы.

Это приводит к еще одной забавной детали: или прокси-серверы Яндекса расположены за пределами России, или претензии нужно предъявлять операторам связи, обеспечивающим их подключение.

С нетерпением ждем, когда депутаты узнают о существовании Tor и VPN.
Источник: Известия

Лишний goto поломал SSL/TLS в iOS
dl // 22.02.14 17:13
Анализ внезапно выпущенного на днях обновления iOS до версии 7.0.6 выявил замечательную ошибку, позволяющую сайту отдавать iOS-устройствам одноразовые ключи, подписи которых вообще не имели отношения к его сертификату. Т.е. приводящей к фактически полной неработоспособности всего механизма SSL/TLS. В переводе на русский язык: любой владелец точки доступа, на которую налетели любители халявного WiFi, может элементарно реализовать атаку класса man-in-the-middle, на ходу меняя ключи и читая весь как бы защищенный трафик к любимому вконтакту/твиттеру/фейсбуку (или, что хуже, к платежной системе).

Причина ошибки - лишний goto (привет копипасту), который всегда приводил к переходу в конец функции, минуя проверку sslRawVerify.

Эта же уязвимость присутствует и в MacOS, Apple обещает выпустить исправление в ближайшее время.

А вообще, увидев в 21 веке такое количество goto в коде, хочется передать отдельный привет отпраздновавшему на той неделе 80 лет Вирту. Спагетти-код неистребим.

Update: Хочется уточнить - сам по себе goto на блок очистки перед выходом из функции, конечно, вполне допустим и ничуть не хуже, чем привычный break или continue (хотя в таких ситуациях особенно начинаешь ценить автоматическую отработку деструкторов из C++). Но при таком количестве типовых проверок с goto их нужно обвязывать элементарными макросами, которые и делают код чище, и исключают подобные ошибки. Собственно, те же привычные break и continue в C являются точно такими же обвязками вокруг goto на конец блока, только замаскированными на уровне языка. Строго говоря, их введение тоже было избыточным, но без них подобных косяков было бы гораздо больше.
Источник: Adam Langley's Weblog

Исследование безопасности CMS
dl // 24.01.14 15:21
Сервис SiteSecure и проект Ruward опубликовали результаты исследования безопасности сайтов, созданных с помощью различных CMS. Для исследования были отобраны 30 тысяч сайтов в домене RU, список которых был предоставлен компанией iTrack.

Коммерческие CMS оказались в 4 раза меньше бесплатных подвержены всяким заражениям, при этом особого лидера среди них не наблюдается. Среди бесплатных разброс гораздо больше, что вполне объяснимо. Вполне понятна и корреляция между использованием обновленных версий CMS и отсутствием проблем.

Конечно, к результатам стоит относиться умеренно критично (30 тысяч - это лишь 3% сайтов, при случайном отборе которых запросто можно было попасть на непуганые заповедники "тыща визиток на одном хосте"), но выглядят они вполне логично (я бы даже сказал, очевидно). Держите старую бесплатную CMS, наплевав на обновления - не удивляйтесь проблемам.
Источник: Ruward