Stagefright : Η απειλή που άλλαξε το Android για πάντα

Ένα από τα πιο ιδιαίτερα χαρακτηριστικά γνωρίσματα του Android, είναι η φύση του ως λογισμικό ανοιχτού κώδικα, που επιτρέπει σε χρήστες την τροποποίηση και την αναδιανομή με τέτοιον τρόπο, ώστε να ικανοποιήσει και τους πιο απαιτητικούς. Αλλά αυτό το χαρακτηριστικό γνώρισμα, δρα και ως δίκοπο μαχαίρι για το ίδιο το λειτουργικό. Φυσικά αναφερόμαστε στα σοβαρά ζητήματα ασφάλεια που τίθενται. Από την άλλη δεν εννοώ ότι το iOS είναι ασφαλές, ούτε ενστερνίζομαι την συγκεκριμένη άποψη αλλά ούτε και την απορρίπτω. Στο σημερινό άρθρο θα ασχοληθούμε μεμονωμένα με το Android, τα προβλήματα ασφαλείας και φυσικά το Stagefright και την επίδραση που είχε πάνω του.

Φυσικά και είναι ευκολότερη η εύρεση και η επίλυση κενών ασφαλείας όταν όλοι εργάζονται σε ένα project όπου ο πηγαίος κώδικας είναι ευρέως διαθέσιμος. Από την άλλη πλευρά όμως, η επιδιόρθωση του προβλήματος ασφαλείας στην πηγή του, δεν σημαίνει απαραίτητα ότι αυτό διορθώθηκε και για τον τελικό χρήστη του λογισμικού. Για τους παραπάνω λόγους, συχνά το Android δεν προτιμάται από εκείνους που επιζητούν αυξημένη ασφάλεια για την προστασία ευαίσθητων δεδομένων, όπως ο επιχειρηματικός κόσμος.

Κατά την διάρκεια του Google I/O 2014, η εταιρεία έκανε το πρώτο βήμα για ένα πιο ασφαλές Android, προσπαθώντας να προσελκύσει και εκείνους που μέχρι τώρα την απέρριπταν για τα προβλήματα ασφαλείας του λογισμικού της. Ο λόγος, για το Android For Work, ένα enterprise-friendly οικοσύστημα όπου IT administrators μπορούν να δημιουργήσουν δυο διαφορετικούς τύπους προφίλ για τους εργαζομένους. Ο πρώτος για τις ανάγκες της εργασίας τους και ο δεύτερος, που θα αποτελεί τον προσωπικό τους λογαριασμό. Σύντομα το Android for Work έτυχε μεγάλης προσοχής από τους χρήστες, καθώς αποτελούσε μια αξιόπιστη λύση προστασίας της συσκευής από κάθε είδους απειλή. Δεν θα πρέπει να αμελήσουμε να αναφέρουμε ότι η εταιρεία εξέταζε και την πλήρη κρυπτογράφηση της συσκευής, αλλά τελικά τα σχέδια αυτά εγκαταλείφθηκαν και το συγκεκριμένο χαρακτηριστικό έγινε προαιρετικό με τον κάθε κατασκευαστή να επιλέγει αν ήθελε να το ενσωματώσει.

Στη προσπάθεια για ένα ασφαλές Android έχει συνεισφέρει και η Samsung και όχι μόνο η Google. Ωστόσο οι απειλές εξελίσσονται και συνεχίζουν να απειλούν το οικοσύστημα του Android. Μια από αυτές είναι και το Stagefright, με το οποίο ασχολούμαστε εκτενέστερα παρακάτω. Γνώμη μου σε αυτό το σημείο είναι ότι θα πρέπει να γνωστοποιήσω στον αναγνώστη μου, τα περιεχόμενα του άρθρου, έτσι ώστε να αποκτήσει μια πρώτη ιδέα, σχετικά με το τι αναφέρεται σε αυτό. Παρακάτω θα προσπαθήσουμε να δώσουμε έναν σύντομο ορισμό του Stagefright, θα διαπιστώσουμε πόσο σοβαρή απειλή είναι ή όχι και θα αναφερθούμε στις συνέπειες που άλλαξαν οριστικά τον χαρακτήρα του λογισμικού.

Ένας σύντομος ορισμός του Stagefright. Πόσο σοβαρή απειλή είναι;

Καλό κρίνεται σε αυτό το σημείο να δώσω έναν σύντομο ορισμό του Stagefright. Με απλούς όρους, το Stagefright είναι ένα exploit που εντοπίζεται στο playback πολυμέσων σε android συσκευές και φέρει την κωδική ονομασία libstagefright. Σύμφωνα με πολλές εταιρείες ασφαλείας, το Stagefright φαίνεται ότι επηρεάζει περίπου το 95% των συσκευών Android που κυκλοφορούν στην αγορά, σε αριθμούς το ποσοστό αυτό αντιστοιχεί σε 950 εκατομμύρια συσκευές περίπου. Αφορά συσκευές που τρέχουν Android 2.2 και πάνω. Ο μεγαλύτερος κίνδυνος όμως παρουσιάζεται σε συσκευές που τρέχουν Android 4.2 και κάτω. Σε αυτό το σημείο θα επιχειρήσω να εξηγήσω σε κάποιο βαθμό την λειτουργία του καθώς η μόλυνση και η δράση του παρουσιάζουν αρκετές πολυπλοκότητες.

Από μόνο του το Stagefright δίνει πρόσβαση στο σύστημα της συσκευής του χρήστη. Θα πρέπει όμως να έχει διαπεραστεί το ASLR (address space layout randomization) προκειμένου να προβεί σε ουσιαστική μόλυνση της συσκευής. Άγνωστο παραμένει ακόμη αν όντως έχει καταφέρει να το διαπεράσει. Σε κάθε περίπτωση, η απειλή αυτή διοχετεύει επιβλαβή κώδικα στη συσκευή. Έχοντας αποκτήσει τον πλήρη έλεγχο της συσκευής (κάτι σαν το αντίστοιχο root που επιχειρεί ο χρήστης στη συσκευή του) μπορεί να ξεκινήσει η επίθεση. Στο πιο απαισιόδοξο σενάριο, ένα απλό MMS με επιβλαβή κώδικα μπορεί να ξεκινήσει τα πάντα. Ακόμη και ας μην το ανοίξει ο χρήστης, η συσκευή μπορεί να έχει ήδη ξεκινήσει να δέχεται επίθεση, ακόμη και χωρίς να το αντιληφθεί καθόλου.

Άλλα exploits όπως το Android Installer Hijacking, FakeID καθώς και root exploits όπως τα TowelRoot και PingPong απαιτούν σε ένα βαθμό την αλληλεπίδραση με το χρήστη για να ξεκινήσουν τις διεργασίες τους. Ωστόσο αυτό που καθιστά το Stagefright εξαιρετικά σοβαρή απειλή, είναι ότι απαιτεί μόνο τον αριθμό τηλεφώνου του χρήστη προκειμένου να ξεκινήσει η επίθεση. Ο Adrian Ludwi, επικεφαλής της ομάδας ασφαλείας του Android έδωσε ορισμένες επεξηγήσεις σχετικά με την απειλή:
« Είναι εξαιρετικά συνηθισμένη μια λανθασμένη αντίληψη του κόσμου, ότι οποιοδήποτε bug λογισμικού μπορεί να μετατραπεί σε security exploit. Στη πραγματικότητα, τα περισσότερα bugs δεν είναι exploitable και εμείς έχουμε κάνει πάρα πολλά από την μεριά μας για να συνεισφέρουμε σε αυτήν την κατεύθυνση. Μια λίστα με αυτές τις νέες τεχνολογίες που έχει ενσωματώσει το Android από την Ice Cream Sandwich (Android 4.0) μπορεί να βρεθούν εδώ. Το πιο γνωστό από αυτά είναι το Address Space Layout Randomization (ASLR) το οποίο έχει ολοκληρωθεί πλήρως στην Android 4.1 με υποστήριξη για PIE (Position Independent Executables) που βρίσκεται σε πάνω από το 85% των Android συσκευών. Φυσικά δεν αναιρεί τη σοβαρότητα που έχει το Stagefright σαν απειλή. »

Το Stagefright υπογραμμίζει τα προβλήματα κατακερματισμού του Android και τον προβληματικό τρόπο διάθεσης των ενημερώσεων.

Το ζήτημα των αναβαθμίσεων

Μιλώντας για αναβαθμίσεις να εξαίρουμε αρχικώς την προσπάθεια που καταβάλλουν οι κατασκευαστές για να παρέχουν ενημερώσεις ασφαλείας όταν αυτές απαιτηθούν.Έχουν δεσμευθεί μάλιστα να βελτιώσουν τον τρόπο με τον οποίο γίνεται η διάθεση των ενημερώσεων για exploits σαν αυτά του Stagefright. Η πρώτη εταιρεία η οποία προέβη σε επίσημο δημόσιο σχολιασμό για την απειλή ήταν η Google η οποία υποσχέθηκε μηνιαίες αναβαθμίσεις για τις περισσότερες συσκευές Nexus, συμπεριλαμβανομένης και της Nexus 4, που αριθμεί ήδη τρία χρόνια στην αγορά.

Η Samsung επίσης υποσχέθηκε την κυκλοφορία μηνιαίων αναβαθμίσεων και την υιοθέτηση ενός ολοκληρωμένου προγράμματος αναβαθμίσεων ασφαλείας, αλλά δεν αναφέρθηκε συγκεκριμένα σε συσκευές ούτε σε κάποιο χρονικό πλαίσιο υλοποίησης. Άκρως ενδιαφέροντα όλα τα παραπάνω γιατί συγκλίνουν σε μια Fast Track προσέγγιση στις αναβαθμίσεις ασφαλείας, έναν τομέα στον οποίο πάσχει σημαντικά το Android. Επίσης στο πρόγραμμα θα ενταχθούν και κατασκευαστές όπως LG, Sony και Motorola με την τελευταία να δηλώνει ότι όλες οι συσκευές της από το 2013 θα δεχθούν αναβαθμίσεις.

Τα προβλήματα του Android που ανέδειξε το Stagefright

Το Stagefright αποτέλεσε μια καλή ευκαιρία υπενθύμισης σε όλους μας των προβλημάτων που έχει το Android, με τον κατακερματισμό του και την προβληματική διάθεση ενημερώσεων. Υπογραμμίζει το γεγονός ότι δεν υπάρχει μια συστηματική μέθοδος διάθεσης ενημερώσεων ασφαλείας, μια μέθοδος η οποία θα εξασφαλίζει την σταθερή παροχή ενημερώσεων έναντι ζητημάτων ασφαλείας που προκύπτουν. Αν και οι κατασκευαστές προσπαθούν από την μεριά τους να διαθέσουν τέτοιου είδους ενημερώσεις, η αλήθεια είναι ότι αυτές θα περιοριστούν μόνο στις νέες flagship συσκευές. Οι υπόλοιπες συσκευές, πόσο μάλλον από λιγότερους γνωστούς κατασκευαστές, θα συνεχίσουν να είναι εκτεθειμένες σε σοβαρές απειλές, όπως το Stagefright.

Τι μας δίδαξε το Stagefright; Στην ουσία προσέλκυσε το ενδιαφέρον μας στη διαδικασία αναβαθμίσεων του Android με τα σημαντικά προβλήματα που αυτή παρουσιάζει, ενώ παράλληλα μας κάνει να διατυπώσουμε με ασφάλεια την άποψη, ότι δεν θα προτιμηθεί από enterprise καταναλωτές, που αυτό που επιζητούν είναι η αυξημένη ασφάλεια. Καθώς η Google εργάζεται για την πιο ευρεία αποδοχή του στον επιχειρηματικό κόσμο, είναι γεγονός ότι θα πρέπει να επανεξετάσει την στρατηγική της στη διάθεση ενημερώσεων αλλά και τα περιθώρια ελέγχου των κατασκευαστών του Android. Ίσως στο μέλλον η Google περιορίσει τις αλλαγές που θα μπορούν να κάνουν οι κατασκευαστές στο AOSP. Ίσως με το RRO framework να είναι λειτουργικό στην Android M, η εταιρεία να περιορίσει τους κατασκευαστές σε αισθητικές αλλαγές μόνο. Αυτό θα δώσει τη δυνατότητα για γρηγορότερη διάθεση ενημερώσεων αλλά θα στερήσει από τους OEMs τη δυνατότητα πλήρους παραμετροποίησης του λογισμικού.

Ένας άλλος τρόπος που θα μπορούσε να δώσει μια, έστω και προσωρινή λύση στο πρόβλημα, είναι να καταστεί απαιτητό για όλες τις συσκευές που θα καταφθάσουν με το Google Play Store να απαιτούν την εγκατάσταση συχνών ενημερώσεων ασφαλεία; για κάποιο συγκεκριμένο χρονικό διάστημα, περίπου δυο χρονών. Το Play Services framework θα μπορούσε να χρησιμοποιηθεί για να ελέγχεται συχνά αν υπάρχουν νέες ενημερώσεις ασφαλείας, με την πρόσβαση στο Google Play να σταματά αν αυτές δεν εγκατασταθούν.

Αντί επιλόγου

Μέχρι και τη στιγμή συγγραφής αυτού του άρθρου δεν έχει γίνει γνωστός ένα τρόπος με τον οποίο οι συσκευές θα μπορούν να προστατευθούν αποτελεσματικά έναντι του Stagefright. Η πληθώρα των Android συσκευών που κυκλοφορούν στην αγορά, δεν μας επιτρέπει να γνωρίζουμε το βαθμό στον οποίο είναι διασφαλισμένη η κάθε μια συσκευή έναντι του Stagefright. Αποτελεσματική κρίνεται η ανάγκη η Google να επανεξετάσει τον τρόπο με τον οποίο κυκλοφορούν οι ενημερώσεις, καθώς ο υπάρχων τρόπος σίγουρα δεν είναι ο καλύτερος.


Επιμέλεια jisr7 με πληροφορίες από XDA Developers
Μέχρι το επόμενο blog post, Stay Myphoned !