Quasi tutte le app per tastiera che consentono agli utenti di inserire caratteri cinesi nei propri dispositivi Android, iOS o altri dispositivi mobili sono vulnerabili agli attacchi che consentono a un avversario di catturare l'intera sequenza dei tasti.

Ciò include dati come credenziali di accesso, informazioni finanziarie e messaggi che altrimenti verrebbero crittografati end-to-end, ha scoperto un nuovo studio del Citizen Lab dell'Università di Toronto.

Problema onnipresente

Per la studio, i ricercatori del laboratorio hanno preso in considerazione le app Pinyin basate su cloud (che trasformano i caratteri cinesi in parole scritte con lettere romane) di nove fornitori che vendono agli utenti in Cina: Baidu, Samsung, Huawei, Tencent, Xiaomi, Vivo, OPPO, iFlytek e Honor . La loro indagine ha mostrato che tutti, tranne l'app di Huawei, trasmettevano i dati sulla tastiera al cloud in un modo che consentiva a un intercettatore passivo di leggere i contenuti in chiaro e con poche difficoltà. I ricercatori del Citizen Lab, che negli anni si sono guadagnati la reputazione di aver denunciato molteplici casi di spionaggio informatico, sorveglianza e altre minacce mirati agli utenti mobili e alla società civile, ha affermato che ciascuno di essi contiene almeno una vulnerabilità sfruttabile nel modo in cui gestiscono le trasmissioni dei tasti premuti dagli utenti nel cloud.

La portata delle vulnerabilità non deve essere sottovalutata, hanno scritto i ricercatori di Citizen Lab Jeffrey Knockel, Mona Wang e Zoe Reichert in un rapporto che riassume i loro risultati questa settimana: I ricercatori di Citizen Lab hanno scoperto che il 76% degli utenti di app per tastiera nella Cina continentale, infatti, utilizzare una tastiera Pinyin per inserire i caratteri cinesi.

"Tutte le vulnerabilità trattate in questo rapporto possono essere sfruttate in modo interamente passivo senza inviare ulteriore traffico di rete", hanno affermato i ricercatori. Inoltre, hanno osservato, le vulnerabilità sono facili da scoprire e non richiedono alcuna sofisticazione tecnologica per essere sfruttate. “In quanto tali, potremmo chiederci, queste vulnerabilità sono attivamente oggetto di sfruttamento di massa?”

Ciascuna delle vulnerabili app per tastiera Pinyin esaminate da Citizen Lab aveva sia un componente locale sul dispositivo sia un servizio di previsione basato su cloud per la gestione di lunghe stringhe di sillabe e caratteri particolarmente complessi. Delle nove app esaminate, tre provenivano da sviluppatori di software mobile: Tencent, Baidu e iFlytek. Le restanti cinque erano app che Samsung, Xiaomi, OPPO, Vivo e Honor, tutti produttori di dispositivi mobili, avevano sviluppato in proprio o avevano integrato nei propri dispositivi da uno sviluppatore di terze parti.

Sfruttabile tramite metodi attivi e passivi

I metodi di sfruttamento differiscono per ciascuna app. L'app QQ Pinyin di Tencent per Android e Windows, ad esempio, presentava una vulnerabilità che consentiva ai ricercatori di creare un exploit funzionante per decrittografare le sequenze di tasti tramite metodi di intercettazione attiva. L'IME di Baidu per Windows conteneva una vulnerabilità simile, per la quale Citizen Lab ha creato un exploit funzionante per decrittografare i dati digitati tramite metodi di intercettazione sia attivi che passivi.

I ricercatori hanno scoperto altri punti deboli relativi alla privacy e alla sicurezza crittografati nelle versioni iOS e Android di Baidu, ma non hanno sviluppato exploit per loro. L'app iFlytek per Android presentava una vulnerabilità che consentiva a un intercettatore passivo di ripristinare le trasmissioni da tastiera in testo normale a causa di insufficienti crittografia mobile.

Dal punto di vista del fornitore di hardware, l'app per tastiera sviluppata internamente da Samsung non offriva alcuna crittografia e inviava invece le trasmissioni dei tasti in chiaro. Samsung offre inoltre agli utenti la possibilità di utilizzare l'app Sogou di Tencent o un'app di Baidu sui propri dispositivi. Delle due app, Citizen Lab ha identificato l'app per tastiera di Baidu come vulnerabile agli attacchi.

I ricercatori non sono stati in grado di identificare alcun problema con l'app per tastiera Pinyin sviluppata internamente da Vivo, ma avevano un exploit funzionante per una vulnerabilità che hanno scoperto in un'app Tencent disponibile anche sui dispositivi Vivo.

Anche le app Pinyin di terze parti (di Baidu, Tencent e iFlytek) disponibili con i dispositivi di altri produttori di dispositivi mobili presentavano tutte vulnerabilità sfruttabili.

Si scopre che questi non sono problemi insoliti. L'anno scorso, Citizen Labs aveva condotto un'indagine separata nel Sogou di Tencent, utilizzato da circa 450 milioni di persone in Cina, e aveva scoperto vulnerabilità che esponevano la digitazione dei tasti ad attacchi di intercettazione.

"Combinando le vulnerabilità scoperte in questo e nel nostro precedente rapporto che analizzava le app per tastiera di Sogou, stimiamo che fino a un miliardo di utenti siano interessati da queste vulnerabilità", ha affermato Citizen Lab.

Le vulnerabilità potrebbero consentire la sorveglianza di massa degli utenti cinesi di dispositivi mobili, anche attraverso i servizi di intelligence appartenenti alle cosiddette nazioni Five Eyes: Stati Uniti, Regno Unito, Canada, Australia e Nuova Zelanda, ha affermato Citizen Lab; le vulnerabilità nelle app per tastiera scoperte da Citizen Lab nella sua nuova ricerca sono molto simili alle vulnerabilità nel browser UC sviluppato in Cina che le agenzie di intelligence di questi paesi hanno sfruttato per scopi di sorveglianza, osserva il rapporto.

• Distribuzione di contenuti basati su SEO e PR. Ricevi amplificazione oggi.
• PlatoData.Network Generativo verticale Ai. Potenzia te stesso. Accedi qui.
• PlatoAiStream. Intelligenza Web3. Conoscenza amplificata. Accedi qui.
• PlatoneESG. Carbonio, Tecnologia pulita, Energia, Ambiente, Solare, Gestione dei rifiuti. Accedi qui.
• Platone Salute. Intelligence sulle biotecnologie e sulle sperimentazioni cliniche. Accedi qui.
• Fonte: https://www.darkreading.com/endpoint-security/most-chinese-keyboard-apps-vulnerable-to-eavesdropping