Prawie wszystkie aplikacje klawiaturowe, które umożliwiają użytkownikom wprowadzanie chińskich znaków na urządzeniach z systemem Android, iOS lub innych urządzeniach mobilnych, są podatne na ataki, które pozwalają przeciwnikowi przechwycić całość naciśnięć klawiszy.

Obejmuje to takie dane, jak dane logowania, informacje finansowe i wiadomości, które w przeciwnym razie byłyby w pełni szyfrowane, jak wykazało nowe badanie przeprowadzone przez Citizen Lab na Uniwersytecie w Toronto.

Wszechobecny problem

Dla „The Puzzle of Monogamous Marriage” badacze w laboratorium wzięli pod uwagę oparte na chmurze aplikacje Pinyin (które zamieniają chińskie znaki na słowa pisane literami łacińskimi) od dziewięciu dostawców sprzedających użytkownikom w Chinach: Baidu, Samsung, Huawei, Tencent, Xiaomi, Vivo, OPPO, iFlytek i Honor . Ich dochodzenie wykazało, że wszystkie urządzenia oprócz aplikacji Huawei przesyłają dane o naciśnięciach klawiszy do chmury w sposób, który umożliwia biernemu podsłuchiwaczowi odczytanie zawartości w postaci zwykłego tekstu i z niewielkimi trudnościami. Badacze z Citizen Lab, którzy przez lata zdobyli reputację dzięki ujawnianiu licznych przypadków cyberszpiegostwa, inwigilacja i inne zagrożenia skierowane do użytkowników mobilnych i społeczeństwa obywatelskiego, stwierdziło, że każdy z nich zawiera co najmniej jedną lukę, którą można wykorzystać, w sposobie obsługi transmisji naciśnięć klawiszy użytkownika do chmury.

Nie należy lekceważyć zakresu luk, badacze z Citizen Lab, Jeffrey Knockel, Mona Wang i Zoe Reichert, napisali w raporcie podsumowującym swoje ustalenia z tego tygodnia: Naukowcy z Citizen Lab odkryli, że 76% użytkowników aplikacji na klawiaturę w Chinach kontynentalnych tak naprawdę użyj klawiatury Pinyin do wprowadzania chińskich znaków.

„Wszystkie luki omówione w tym raporcie można wykorzystać całkowicie pasywnie, bez wysyłania dodatkowego ruchu sieciowego” – stwierdzili badacze. Co więcej, luki te były łatwe do wykrycia, a ich wykorzystanie nie wymagało żadnego zaawansowanego zaawansowania technologicznego – zauważyli. „W związku z tym możemy się zastanawiać, czy te luki są aktywnie wykorzystywane na masową skalę?”

Każda z podatnych na ataki aplikacji klawiatury Pinyin zbadanych przez Citizen Lab zawierała zarówno komponent lokalny na urządzeniu, jak i opartą na chmurze usługę przewidywania do obsługi długich ciągów sylab i szczególnie skomplikowanych znaków. Spośród dziewięciu aplikacji, które sprawdzili, trzy pochodziły od twórców oprogramowania mobilnego – Tencent, Baidu i iFlytek. Pozostałe pięć to aplikacje, które Samsung, Xiaomi, OPPO, Vivo i Honor – wszyscy producenci urządzeń mobilnych – opracowali samodzielnie lub zintegrowali ze swoimi urządzeniami od zewnętrznego programisty.

Możliwość wykorzystania metodami aktywnymi i pasywnymi

Metody wykorzystania różnią się w przypadku każdej aplikacji. Na przykład aplikacja QQ Pinyin firmy Tencent na Androida i Windowsa miała lukę, która umożliwiła badaczom stworzenie działającego exploita do odszyfrowywania naciśnięć klawiszy za pomocą aktywnych metod podsłuchu. IME Baidu dla Windows zawierał podobną lukę, dla której Citizen Lab stworzył działający exploit do odszyfrowywania danych dotyczących naciśnięć klawiszy zarówno przy użyciu aktywnych, jak i pasywnych metod podsłuchu.

Badacze odkryli inne luki w prywatności i bezpieczeństwie związane z szyfrowaniem w wersjach Baidu na iOS i Androida, ale nie opracowali dla nich exploitów. Aplikacja iFlytek na Androida miała lukę, która umożliwiała pasywnemu podsłuchiwaczowi odzyskanie transmisji z klawiatury w postaci zwykłego tekstu z powodu niewystarczającej szyfrowanie mobilne.

Po stronie dostawcy sprzętu autorska aplikacja klawiatury Samsunga nie oferowała żadnego szyfrowania, a zamiast tego wysyłała transmisje naciśnięć klawiszy w sposób czysty. Samsung oferuje również użytkownikom możliwość korzystania z aplikacji Sogou firmy Tencent lub aplikacji Baidu na swoich urządzeniach. Spośród dwóch aplikacji Citizen Lab zidentyfikowało klawiaturę Baidu jako podatną na atak.

Badacze nie byli w stanie zidentyfikować żadnego problemu z opracowaną wewnętrznie aplikacją klawiatury Pinyin firmy Vivo, ale wykorzystali działający exploit wykorzystujący lukę w zabezpieczeniach aplikacji Tencent, która jest również dostępna na urządzeniach Vivo.

Wszystkie aplikacje Pinyin innych firm (firm Baidu, Tencent i iFlytek), które są dostępne na urządzeniach innych producentów urządzeń mobilnych, również miały luki, które można było wykorzystać.

Okazuje się, że nie są to rzadkie problemy. W zeszłym roku firma Citizen Labs przeprowadziła osobne dochodzenie w sprawie oprogramowania Sogou firmy Tencent — używanego przez około 450 milionów ludzi w Chinach — i odkryła luki w zabezpieczeniach, które narażały naciśnięcia klawiszy na ataki podsłuchowe.

„Łącząc luki wykryte w tym raporcie i nasz poprzedni raport analizujący aplikacje klawiaturowe Sogou, szacujemy, że luki te dotykają nawet miliarda użytkowników” – stwierdził Citizen Lab.

Luki mogą umożliwić masową inwigilację użytkowników urządzeń mobilnych w Chinach – w tym przez służby wywiadu sygnałowego należące do tak zwanych krajów Five Eyes – Stanów Zjednoczonych, Wielkiej Brytanii, Kanady, Australii i Nowej Zelandii – podało Citizen Lab; W raporcie zauważono, że luki w aplikacjach klawiaturowych wykryte przez Citizen Lab w ramach nowego badania są bardzo podobne do luk w opracowanej w Chinach przeglądarce UC, którą agencje wywiadowcze tych krajów wykorzystały do ​​celów nadzoru.

• Dystrybucja treści i PR oparta na SEO. Uzyskaj wzmocnienie już dziś.
• PlatoData.Network Pionowe generatywne AI. Wzmocnij się. Dostęp tutaj.
• PlatoAiStream. Inteligencja Web3. Wiedza wzmocniona. Dostęp tutaj.
• PlatonESG. Węgiel Czysta technologia, Energia, Środowisko, Słoneczny, Gospodarowanie odpadami. Dostęp tutaj.
• Platon Zdrowie. Inteligencja w zakresie biotechnologii i badań klinicznych. Dostęp tutaj.
• Źródło: https://www.darkreading.com/endpoint-security/most-chinese-keyboard-apps-vulnerable-to-eavesdropping