Næstum öll lyklaborðsforrit sem gera notendum kleift að slá inn kínverska stafi í Android, iOS eða önnur farsímatæki eru viðkvæm fyrir árásum sem gera andstæðingi kleift að fanga allar ásláttirnar.

Þetta felur í sér gögn eins og innskráningarskilríki, fjárhagsupplýsingar og skilaboð sem annars væru dulkóðuð frá enda til enda, að því er ný rannsókn frá Citizen Lab í Toronto háskóla hefur leitt í ljós.

Alls staðar vandamál

Til að Nám, vísindamenn á rannsóknarstofunni íhuguðu skýjatengd Pinyin forrit (sem gera kínverska stafi í orðum stafsett með rómverskum stöfum) frá níu söluaðilum sem selja notendum í Kína: Baidu, Samsung, Huawei, Tencent, Xiaomi, Vivo, OPPO, iFlytek og Honor . Rannsókn þeirra sýndi að allt nema forritið frá Huawei sendi ásláttargögn til skýsins á þann hátt sem gerði óvirkum hlerara kleift að lesa innihaldið með skýrum texta og með litlum erfiðleikum. Vísindamenn Citizen Lab, sem hafa áunnið sér orðspor í gegnum árin fyrir að afhjúpa margvíslegar netnjósnir, eftirlit og aðrar hótanir miðað við farsímanotendur og borgaralegt samfélag, sagði hver þeirra innihalda að minnsta kosti einn hagnýtan varnarleysi í því hvernig þeir höndla sendingar á ásláttum notenda í skýið.

Ekki ætti að vanmeta umfang veikleika, skrifuðu Citizen Lab rannsakendur Jeffrey Knockel, Mona Wang og Zoe Reichert í skýrslu þar sem þeir draga saman niðurstöður sínar í vikunni: Rannsakendur frá Citizen Lab komust að því að 76% af notendum lyklaborðsforrita á meginlandi Kína, í raun, notaðu Pinyin lyklaborð til að slá inn kínverska stafi.

„Það er hægt að nýta alla veikleikana sem við fjölluðum um í þessari skýrslu algjörlega óvirkt án þess að senda neina viðbótarnetumferð,“ sögðu rannsakendur. Og til að ræsa, var auðvelt að uppgötva veikleikana og þurfa enga tæknilega fágun til að nýta, sögðu þeir. „Sem slík gætum við velt því fyrir okkur, eru þessir veikleikar virkir undir fjöldanýtingu?

Hvert af viðkvæmu Pinyin lyklaborðsforritunum sem Citizen Lab skoðaði hafði bæði staðbundinn íhluti í tækinu og skýjatengda spáþjónustu til að meðhöndla langa strengi atkvæða og sérstaklega flókna stafi. Af þeim níu öppum sem þeir skoðuðu voru þrjú frá farsímahugbúnaðarhönnuðum - Tencent, Baidu og iFlytek. Hinar fimm voru öpp sem Samsung, Xiaomi, OPPO, Vivo og Honor - allir farsímaframleiðendur - höfðu annað hvort þróað á eigin spýtur eða höfðu samþætt tækin sín frá þriðja aðila þróunaraðila.

Hægt að nýta með virkum og óvirkum aðferðum

Aðferðir við hagnýtingu eru mismunandi fyrir hvert forrit. Tencent's QQ Pinyin app fyrir Android og Windows hafði til dæmis varnarleysi sem gerði rannsakendum kleift að búa til virka hagnýtingu til að afkóða áslátt með virkum hlerunaraðferðum. IME frá Baidu fyrir Windows innihélt svipaðan varnarleysi, sem Citizen Lab bjó til virka hagnýtingu til að afkóða ásláttargögn með bæði virkum og óvirkum hlerunaraðferðum.

Rannsakendur fundu aðra dulkóðaða tengda persónuvernd og öryggisveikleika í iOS og Android útgáfum Baidu en þróuðu ekki hetjudáð fyrir þá. iFlytek appið fyrir Android var með veikleika sem gerði óvirkum hlerara kleift að jafna sig í látlausum lyklaborðssendingum vegna ófullnægjandi farsíma dulkóðun.

Hjá vélbúnaðarsöluaðilanum bauð heimaræktað lyklaborðsforrit Samsung alls enga dulkóðun og sendi í staðinn ásláttarsendingar á hreinu. Samsung býður notendum einnig upp á annað hvort að nota Sogou appið frá Tencent eða app frá Baidu í tækjunum sínum. Af þessum tveimur forritum benti Citizen Lab á lyklaborðsforrit Baidu sem viðkvæmt fyrir árásum.

Rannsakendur gátu ekki borið kennsl á neitt vandamál með Pinyin lyklaborðsforriti Vivo sem er þróað innbyrðis en þeir voru með hagnýtingu fyrir varnarleysi sem þeir uppgötvuðu í Tencent appi sem er einnig fáanlegt á tækjum Vivo.

Þriðju aðila Pinyin forritin (frá Baidu, Tencent og iFlytek) sem eru fáanleg með tækjum frá öðrum farsímaframleiðendum voru einnig með veikleika sem hægt er að nýta.

Þetta eru ekki óalgeng mál, kemur í ljós. Á síðasta ári hafði Citizen Labs framkvæmt sérstaka rannsókn í Tencent's Sogou - notað af um 450 milljónum manna í Kína - og fundið veikleika sem afhjúpuðu áslátt fyrir hlerunarárásir.

„Með því að sameina veikleikana sem uppgötvaðist í þessari og fyrri skýrslu okkar þar sem lyklaborðsforrit Sogou voru greind, áætlum við að allt að einn milljarður notenda verði fyrir áhrifum af þessum veikleikum,“ sagði Citizen Lab.

Veikleikarnir gætu gera fjöldaeftirlit kleift af kínverskum farsímanotendum - þar á meðal með merkjaleyniþjónustum sem tilheyra svokölluðum Five Eyes þjóðum - Bandaríkjunum, Bretlandi, Kanada, Ástralíu og Nýja Sjálandi - sagði Citizen Lab; veikleikarnir í lyklaborðsöppunum sem Citizen Lab uppgötvaði í nýjum rannsóknum sínum eru mjög svipaðir veikleikum í UC vafranum sem þróaður var í Kína sem leyniþjónustustofnanir frá þessum löndum nýttu í eftirlitsskyni, segir í skýrslunni.

• SEO knúið efni og PR dreifing. Fáðu magnara í dag.
• PlatoData.Network Vertical Generative Ai. Styrktu sjálfan þig. Aðgangur hér.
• PlatoAiStream. Web3 upplýsingaöflun. Þekking aukin. Aðgangur hér.
• PlatóESG. Kolefni, CleanTech, Orka, Umhverfi, Sól, Úrgangsstjórnun. Aðgangur hér.
• PlatoHealth. Líftækni og klínísk rannsóknagreind. Aðgangur hér.
• Heimild: https://www.darkreading.com/endpoint-security/most-chinese-keyboard-apps-vulnerable-to-eavesdropping