当前位置:首页 > 嵌入式新闻
[导读]有关于运行Android操作系统的设备容易受到中间人攻击新闻大家很感兴趣,既然大家想对此进一步了解,那么小编来给大家分享一下具体情况。

有关于运行Android操作系统的设备容易受到中间人攻击新闻大家很感兴趣,既然大家想对此进一步了解,那么小编来给大家分享一下具体情况。

一群大学研究人员警告说,大多数运行谷歌Android操作系统的设备容易受到中间人攻击,攻击者将允许对手访问受害者存储在Google服务中的个人数据。

来自德国乌尔姆大学的研究人员在5月13日说,恶意个人可以拦截通过不安全的WiFi网络运行应用程序的Android用户的身份验证令牌,访问Google服务(例如日历和联系人)的应用程序使用ClientLogin身份验证协议请求并接收身份验证令牌获得对用户数据的访问。Google设计了令牌,以便可以重复使用同一个实例两周。

但是,如果在用户处于未加密的不安全连接上时请求并发送令牌,则任何窃听者都可以找到并窃取令牌,并在14天的期限内使用它来访问用户联系人,日历项,电子邮件和其他个人信息。研究人员Bastian Konings,Jens Nickels和Florian Schaub表示,令牌没有绑定到会话或设备上,这使攻击者很容易用另一部手机模拟用户。

该大学的媒体信息研究所的研究人员写道:“我们想知道是否真的有可能对Google服务发起模拟攻击并开始我们自己的分析。” “简短的答案是:是的,这样做是可能的,而且非常容易。”

根据Google的平台统计资料,该问题存在于Android 2.3.3及更早版本中,其中包括当前Android设备的99.7%。研究人员称,漏洞已在2.3.4中得到解决,并且所有应用程序都使用安全的HTTPS连接来访问Google服务。

Juniper Networks全球威胁中心首席移动传播者Dan Hoffman告诉eWEEK,ClientLogin身份验证协议漏洞是攻击者利用WiFi网络并监视企业和个人数据的一个示例。霍夫曼说,“这种利用的简便性”使得这对于任何将敏感数据存储在Google服务中的人来说都是一个严重的漏洞。

研究人员说:“对手可以完全访问相应Google用户的日历,联系人信息或私人网络相册。”

霍夫曼说,对手可以查看,修改或删除任何联系人,日历事件或私人图片,就像合法用户已经正确登录一样。据霍夫曼称,该人将能够在很长的一段时间内“秘密地”获得和操纵用户拥有的所有物品。

恶意黑客可能仅通过设置WiFi接入点并假装成为未加密的无线网络就可以收获大量令牌。范围内的任何Android设备都可以连接,从而使黑客可以访问服务令牌。

霍夫曼说,企业应确保员工使用VPN软件通过开放的WiFi网络访问公司数据或电子邮件。霍夫曼说,应该正确配置无线设置,应用程序开发人员应确保他们使用适当的安全协议来保护数据。

研究人员测试了与各种Android版本上的Google服务联系的应用程序,发现该问题在2.3.3之前的所有版本中都存在。在Android 2.3.4及更高版本上,只有将Picasa与在线Web相册同步的Gallery应用程序仍然很容易受到攻击,因为它使用常规HTTP进行同步。研究人员发现,任何使用ClientLogin协议通过HTTP访问Google服务的Android或桌面应用程序都容易受到攻击。

研究人员建议Google缩短令牌有效的时间,并自动拒绝来自不安全HTTP连接的ClientLogin请求。

Android用户应该更新到版本2.3.4,尽管说起来容易做起来难,因为大多数用户不得不等待无线运营商推出更新。例如,许多Verizon Wireless客户仍停留在2.2.2版本。愿意越狱的用户可以继续进行更新。无论哪种方式,用户都应禁用允许Android设备自动与开放的WiFi网络同步的设置。

ESET网络威胁分析中心主任Paul Laudanski表示,即使普通用户遭受此类攻击的机率“不高”,用户也应“偏执”并避免开放的WiFi网络。劳丹斯基说:“请注意您所在的位置以及系统要连接的内容。”

换一批

延伸阅读

[通信网络] 烽火通信钱鑫表示Wi-Fi 6产业已经成熟预计2020年开始逐步普及

烽火通信钱鑫表示Wi-Fi 6产业已经成熟预计2020年开始逐步普及

在今日的“新一代光传送网发展论坛”上,烽火通信宽带业务产出线总经理钱鑫发表了题为“千兆入户开启智慧生活新时代”演讲。钱鑫认为,Wi-Fi 6产业已经成熟,目前市场主流芯片已经可以支撑Wi-Fi 6,预计2020年开始逐步普及。...

关键字: Wi-Fi 烽火通信

[区块链] Chainlink希望通过与谷歌合作来整合区块链以外的数据

Chainlink希望通过与谷歌合作来整合区块链以外的数据

谷歌在一篇博客文章中宣布,使用谷歌软件的以太坊应用程序开发商将能够通过与Chainlink合作,整合区块链以外的数据。Chainlink是一家提供坡道和坡道上所需信息的公司,这些信息是运行名为智能合约的自动执行代码所必需的。...

关键字: 谷歌 区块链 比特币 加密货币 以太坊

[人工智能] 谷歌推出用于自拍摄像头的防脸部失真算法

谷歌推出用于自拍摄像头的防脸部失真算法

编者按:人工智能领域,虽然今年在市场落地方面中外企业进步不同,但是谷歌、微软等巨头在具体算法研究上依然处于领先地位。谷歌研究人员成功开发了用于自拍摄像头的防脸部失真算法,这项研究成果对于社交媒体等企业大有裨益。 最近的一项研...

关键字: 智能手机 谷歌 算法 AI

[通信网络] 5G和高铁WIFI有什么故事

5G和高铁WIFI有什么故事

在高铁WiFi系统与5G技术的融合方案中,利用了边缘计算、网络切片、虚拟化等关键技术解决高铁对5G信号的屏蔽问题。 关于高铁上为何没有WiFi这个问题在近几年已经被热议过多次,呼声由来已久,每逢节假日这种呼声尤为迫切...

关键字: Wi-Fi 5G

[科技前线] 小企业抱怨谷歌援助是噱头:帮不上忙还烧钱

5月13日消息,据国外媒体报道,3月下旬谷歌宣布了一项8亿美元的一揽子计划,旨在帮助因新型冠状病毒疫情而陷入困境的企业。其中明确向所有行业的中小企业提供总额为3.4亿美元的广告信贷额度,将年底到期的广告信用授予拥有活跃谷歌广告账户的企业。但...

关键字: 谷歌 旅游业 谷歌援助

嵌入式新闻

17114 篇文章

关注

发布文章

技术子站

关闭