Teemu Laitila
17. toukokuuta, 2011 18:37
Lähes kaikki Googlen Android-käyttöjärjestelmää käyttävät puhelinmallit ovat haavoittuvaisia hyökkäykselle, joka antaa hyökkääjälle pääsyn laitteilla käytettyihin Googlen palveluihin. Asista kertovan The Registerin mukaan vaarassa ovat kaikki tiedot, jotka puhelin synkronoi Googlen pilvipalveluiden kanssa kuten kalenteri, yhteystiedot sekä muu luottamuksellinen data.
Haavoittuvuus koskee kaikkia Android-versioita aina 2.3.3 versioon asti. Ongelma on korjattu uusimmassa 2.3.4 versiossa. Koska vasta noin 1 prosentti Android-laitteista on päivitetty uusimpaan versioonsa, ongelma koskettaa 99 prosenttia koko laitekannasta. Asiaa tutkineen saksalaisen Ulmin yliopiston mukaan ongelman aiheuttaa käyttäjän tunnistamiseen käytetyn ClientLogin-protokollan puutteellinen toteutus.
Käyttäjän tunnistauduttua esimerkiksi Googlen kalenteriin synkronointia varten, sovellus hakee verkosta tunnistetiedoston, joka lähetetään verkon yli selväkielisenä. Tunnistetieto on voimassa 14 päivää ja sen avulla hyökkääjä voi palveluissa väärentää henkilöllisyytensä. Hyökkäys voidaan toteuttaa vain laitteiden ollessa kytkettynä avoimiin salaamattomiin verkkoihin, kuten julkisiin wlan-verkkoihin.
Uutinen ei ole omiaan vahvistamaan Androidin uskottavuutta esimerkiksi yrityskäyttöön soveltuvana alustana. Vaikka Google on jo korjannut ongelman älypuhelimille tarkoitetun Androidin uusimmassa versiossa, operaattoreiden ja laitevalmistajien omien päivitysten hitaus altistaa käyttäjät ongelmille vielä pitkään.