کشف هزاران کلید محرمانه در ابزارهای اندرویدی

شرکت گوگل بررسی‌های گسترده‌ای را روی تمام ابزارهای اندرویدی آغاز کرده است تا هرگونه حفره امنیتی یا مشکل را به مراکز توسعه‌دهنده نرم‌افزاری هشدار دهد و کاربران را در مقابل حملات احتمالی ایمن کند.

به گزارش ایتنا از شماران سیستم، یکی از این حفره‌های امنیتی توسط گروهی از محققان مرکز Columbia Engineering کشف شد و طی آن مشخص شد تعداد زیادی از مراکز توسعه‌دهنده نرم‌افزاری از کلیدهای API اشتباه برای ساخت ابزارهای مورد نظر خود استفاده می‌کرده‌اند و از جمله آنها می‌توان به ابزار فیس‌بوک اشاره کرد که با همین اشتباه ساخته شده است.

از آنجایی که هر یک از ابزارهای موبایلی می‌توانند تجزیه شوند، کلیدهای API این توانایی را دارند که از طریق هکرها مورد استفاده قرار بگیرند و در این شرایط اگر یک مرکز توسعه نرم‌افزار به صورت تصادفی "کلیدهای محرمانه" خود را در ابزار مورد نظر خود ارایه کرده باشد، هکرها می‌توانند به صفحه رسمی شرکت‌ها در فیس‌بوک دسترسی داشته باشند و مدیریت آن را در اختیار بگیرند.


"جیسون نیح"(Jason Nieh) از پرفسورهای علوم رایانه در مرکز Columbia Engineering موفق به ساخت ابزاری شده است که تکنیک‌های هکری را برملا می‌کند و نشان می‌دهد که هر یک از بدافزارها چگونه می‌توانند سیستم امنیتی گوگل را دور بزنند و به راحتی از طریق نرم‌افزارهای موجود در فروشگاه Google Play بارگذاری شوند.

این ابزار که PlayDrone نام دارد و تاکنون هزاران کلید محرمانه موجود در ابزارهای اندرویدی را شناسایی کرده است، به قدری سریع عمل می‌کند که به صورت روزانه می‌تواند همه ابزارهای موجود در فروشگاه اینترنتی گوگل را مورد بررسی قرار دهد.

نتایج حاصل از فعالیت‌های این ابزار نشان داد بیشتر مراکز توسعه‌دهنده نرم‌افزار معمولا کلیدهای محرمانه را در ابزار تولیدی خود مورد استفاده قرار می‌دهند و همین مسئله باعث می‌شود تا اطلاعات حیاتی از جمله شناسه کاربری و رمز عبور داخل نرم‌افزار ذخیره شود و امکان سرقت آنها به راحتی فراهم شود.