Почти все приложения для клавиатуры, которые позволяют пользователям вводить китайские иероглифы на своих Android, iOS или других мобильных устройствах, уязвимы для атак, которые позволяют злоумышленнику перехватывать все нажатия клавиш.

К ним относятся такие данные, как учетные данные для входа в систему, финансовая информация и сообщения, которые в противном случае были бы полностью зашифрованы, как показало новое исследование Citizen Lab Университета Торонто.

Вездесущая проблема

Для того, чтобы получить ИсследованиеИсследователи лаборатории рассмотрели облачные приложения пиньинь (которые преобразуют китайские иероглифы в слова, написанные латинскими буквами) от девяти поставщиков, продающих пользователям в Китае: Baidu, Samsung, Huawei, Tencent, Xiaomi, Vivo, OPPO, iFlytek и Honor. . Их расследование показало, что все приложения Huawei, кроме приложения, передают данные о нажатиях клавиш в облако таким образом, чтобы пассивный перехватчик мог прочитать содержимое в открытом виде и без особых затруднений. Исследователи Citizen Lab, заработавшие за долгие годы репутацию благодаря разоблачению многочисленных случаев кибершпионажа, слежка и другие угрозы нацеленные на мобильных пользователей и гражданское общество, заявили, что каждый из них содержит по крайней мере одну уязвимость, которую можно использовать в том, как они обрабатывают передачу нажатых пользователем клавиш в облако.

Масштаб уязвимостей не следует недооценивать, пишут исследователи Citizen Lab Джеффри Нокель, Мона Ванг и Зои Райхерт в отчете, суммирующем свои выводы на этой неделе: Исследователи из Citizen Lab обнаружили, что 76% пользователей клавиатурных приложений в материковом Китае, по сути, используйте клавиатуру пиньинь для ввода китайских иероглифов.

«Все уязвимости, которые мы рассмотрели в этом отчете, можно использовать совершенно пассивно, без отправки дополнительного сетевого трафика», — заявили исследователи. Кроме того, они отметили, что уязвимости было легко обнаружить, и для их использования не требовалось никаких технологических сложностей. «Таким образом, мы могли бы задаться вопросом, активно ли эти уязвимости используются массово?»

Каждое из уязвимых приложений для клавиатуры пиньинь, которые исследовала Citizen Lab, имело как локальный компонент на устройстве, так и облачный сервис прогнозирования для обработки длинных строк слогов и особенно сложных символов. Из девяти приложений, которые они просмотрели, три были от разработчиков мобильного ПО — Tencent, Baidu и iFlytek. Остальные пять были приложениями, которые Samsung, Xiaomi, OPPO, Vivo и Honor — все производители мобильных устройств — либо разработали самостоятельно, либо интегрировали в свои устройства от стороннего разработчика.

Возможность использования активными и пассивными методами

Способы эксплуатации различаются для каждого приложения. Например, приложение Tencent QQ Pinyin для Android и Windows имело уязвимость, которая позволила исследователям создать рабочий эксплойт для расшифровки нажатий клавиш с помощью методов активного подслушивания. IME Baidu для Windows содержал аналогичную уязвимость, для которой Citizen Lab создала рабочий эксплойт для расшифровки данных нажатия клавиш с помощью методов активного и пассивного подслушивания.

Исследователи обнаружили другие недостатки шифрования, связанные с конфиденциальностью и безопасностью, в версиях Baidu для iOS и Android, но не разработали для них эксплойты. Приложение iFlytek для Android имело уязвимость, которая позволяла пассивному перехватчику восстановить передачу открытого текста с клавиатуры из-за недостаточного мобильное шифрование.

Что касается поставщика оборудования, то собственное приложение для клавиатуры от Samsung вообще не предлагало никакого шифрования и вместо этого отправляло информацию о нажатиях клавиш в открытом виде. Samsung также предлагает пользователям возможность использовать на своих устройствах приложение Tencent Sogou или приложение Baidu. Из двух приложений Citizen Lab определила клавиатурное приложение Baidu как уязвимое для атак.

Исследователи не смогли выявить никаких проблем с приложением клавиатуры пиньинь, разработанным компанией Vivo, но у них был работающий эксплойт для уязвимости, которую они обнаружили в приложении Tencent, которое также доступно на устройствах Vivo.

Сторонние приложения пиньинь (от Baidu, Tencent и iFlytek), доступные для устройств других производителей мобильных устройств, также имеют уязвимости, которыми можно воспользоваться.

Оказывается, это не редкие проблемы. В прошлом году Citizen Labs провела отдельное расследование в Sogou компании Tencent, которым пользуются около 450 миллионов человек в Китае, и обнаружила уязвимости, которые подвергали нажатия клавиш атакам подслушивания.

«Объединив уязвимости, обнаруженные в этом и нашем предыдущем отчете, посвященном анализу клавиатурных приложений Sogou, мы подсчитали, что этими уязвимостями затронуто до одного миллиарда пользователей», — заявили в Citizen Lab.

Уязвимости могут включить массовое наблюдение китайских пользователей мобильных устройств, в том числе службами радиоразведки, принадлежащими к так называемым странам «Пяти глаз» — США, Великобритании, Канаде, Австралии и Новой Зеландии, — сообщает Citizen Lab; Уязвимости в приложениях для клавиатуры, которые Citizen Lab обнаружила в своем новом исследовании, очень похожи на уязвимости в разработанном в Китае браузере UC, который спецслужбы этих стран использовали в целях наблюдения, отмечается в отчете.

• SEO-контент и PR-распределение. Получите усиление сегодня.
• PlatoData.Network Вертикальный генеративный ИИ. Расширьте возможности себя. Доступ здесь.
• ПлатонАйСтрим. Интеллект Web3. Расширение знаний. Доступ здесь.
• ПлатонЭСГ. Углерод, чистые технологии, Энергия, Окружающая среда, Солнечная, Управление отходами. Доступ здесь.
• ПлатонЗдоровье. Биотехнологии и клинические исследования. Доступ здесь.
• Источник: https://www.darkreading.com/endpoint-security/most-chinese-keyboard-apps-vulnerable-to-eavesdropping