Názory k článku
Zařízení s Androidem lze odemknout zadáním jakéhokoliv dlouhého hesla
-
Wizard (neregistrovaný)
A přitom by z aktualizací a podpory dokázali udělat dobrou konkurenční výhodu. Pokud by bylo o vírobci známo že vydává rychlé a pravidelné aktualizace na svoje modely pak by zajisté mnoho uživatelů zvolilo právě tohoto výrobce na úkor jiného. Já třeba koupi LG G3 a už je na něj slíben Marshmallow :) což je u rok staré vlajkové lodi docela jedinečné. Nechápu proč žádný výrobce místo neustálého přidávání výkonu, velikosti atp prostě neudělá dobrou podporu.
-
Peter FodrekZlatý podporovatelDiv sa svetem, tak uz vydajavu celkom velke fimy
Samsung Announces an Android Security Update Process to Ensure Timely Protection from Security Vulnerabilities
on August 5, 2015 by SamsungTomorrow
Samsung Electronics will implement a new Android security update process that fast tracks the security patches over the air when security vulnerabilities are uncovered. These security updates will take place regularly about once per month.
http://global.samsungtomorrow.com/samsung-announces-an-android-security-update-process-to-ensure-timely-protection-from-security-vulnerabilities/Google, Samsung, and LG pledge monthly Android security patches
By Ryan Whitwam on August 7, 2015
Google, Samsung, and LG have all pledged to start pushing out updates about once per month to patch security holes.
Zatial vysla iba augustova/srpnova zaplata na moju S5-ku, zhruba okolo 20. v mesiaci vychdza zapl;ata na S6-ku a asi o 7-10 dni potom na S5-ku..
-
No, nez z toho dostanu orgasmus, budu chtit videt, jak velke podmnoziny zarizeni se to bude tykat a jak dlouho. Pokud napriklad zarizeni z nejvyssi cenove kategorie a po dobu dvoul let, tak to sice je lepsi, nez kramli do oka, ale na vetvi z toho nebudu. A spousty levnejsich zarizeni se to tykat nebude, vcetne asi zarizeni od vyse uvedenych chrabrych vyrobcu.
-
Bohužel to je asi dost naivní názor, že když je to otevřený SW, tak okamžitě když se tam objeví chyba, tak někdo jiný než autor nakluše, tu chybu odborně (a zadarmo) opraví (ve zdrojaku), přeloží, pak připravi aktualizaci a tu pak bude přes důvěryhodné servery distribuovat všem klientům do jejich zařízení :)
A ještě naivnější názor by byl, že když je to otevřený SW, tak si to má každý uživatel opravit sám. -
Uzivatel by si to kolikrat i sam opravil, kdyby to slo. To by ale ty telefony nesmely fungovat s jakymsi ROM brazem, ktery se sestavuje cert vi jak, ale s necim, co se blizi PC. Posledni telefon, ktery toto splnoval, byl asi N900. Tam je apt-get, daji se tam pridavat alternativni repa a pokud vim, dodnes na to komunita dela zaplaty.
-
Natix (neregistrovaný)
Neprůstřelný fix, který zaručí, že k podobnému problému už nikdy nemůže znovu dojít:
https://android.googlesource.com/platform/frameworks/base/+/8fba7e6931245a17215e0e740e78b45f6b66d590A reakce supportu na upozornění, že toto opravdu nestačí (poslední 2 komentáře):
https://code.google.com/p/android/issues/detail?id=178139 -
Pavel TišnovskýZlatý podporovatelHmm chapu to dobre tak, ze kdyz si nekdo da tu praci a nadatli 501 znaku do hesla, tak se tam stejne dostane? (priznam se, ze jsem to necetl cele)
-
Natix (neregistrovaný)
Ten atribut maxLength opravdu zaručí, že do toho textfieldu nepůjde napsat více než 500 znaků. Průšvih je ale v tom, že toto řeší pouze jeden projev mnohem hlubšího problému: Pokud ze screenlock aplikace vyletí výjimka, tak se ukončí a dostanete se na plochu. Ale podle pana Billyho z Android Security Teamu to je přece v cajku. :)
-
Pavel TišnovskýZlatý podporovatel
Aha jasně, díky. Takže screenlock nic nenastavuje (nějakej flag že je session zamčena), jen je ve fullscreenu a má exklusivitu na vstupy...
-
nobody (neregistrovaný)
a jak asi funguje napr. xscreensaver, light-locker? uplne stejne...
teda to ze omezili velikost vstupniho pole ktere pusobilo pad lockeru je v poradku, az narazis na jinej zpusob shozeni lockeru opravi se to, co je na tom divneho nechapu, pokud by se nastavoval flag tak muze byt problem/bug/dira v tom, znamena to ze jedine reseni je vyndat baterku a telefon nepouzivat? :) -
Pavel TišnovskýZlatý podporovatel
Jj funguje to asi stejně blbě, já to nerozporuji ani nenavrhuji nějaké lepší řešení, nicméně jsem tak nějak logicky očekával, že na A. screensaver říká oznamuje ostatním aplikacím a systému, že je zapnutej.
[Proč blbě? - v managovaném jazyku snad dokážou případnému pádu zabránit ne? Minimálně tady určitě...]
-
Zajimave na to zablogoval Martin G. (autor kwin, KDE lockscreen) - http://blog.martin-graesslin.com/blog/2015/09/lock-screen-security-of-phones/
-
karel (neregistrovaný)
No to je inspirace v prihlasovani do windows,
kde login bezu jako aplikace pod pravy uzivatele system coz je jeste vic jak admin, take se toho zneuzivalo ze ste si vyvolali conzolu pustili explorer a pak se prepli na plochu uzivatele system, naposledy sem to delal v sedmickach -
Podobne se resil muj oblibeny bug http://www.g-sec.lu/one-bug-to-rule-them-all.html - autori browseru se dohodli na jednom cisle, ktere by snad mohlo fungovat vsude :).
-
nene (neregistrovaný)
Prectite si nejaky normalni zdroj:
http://www.extremetech.com/mobile/214423-heres-why-you-shouldnt-panic-about-the-android-lock-screen-hackZajimalo by me, jestli si hystericky diskutujici zkusi vzit ponauceni, a priste radeji zapatraji nez aby hned meli silny nazor. Pochybuji...
-
Lael Ophir (neregistrovaný)
Můj silná názor je ten, že Googlu trvalo dva měsíce přidat jednu řádku do definice formu, a to že někde v kódu cosi padá při délce stringu nad 500 znaků nebylo opraveno vůbec, stejně jako to že občas padá kamera pokud se snímá větší množství obrázků. Androidu od jiných výrobců se problém může a nemusí týkat, podle toho jestli nahradili lock screen, kameru a další komponenty.
Samozřejmě to není tak závažné jako třeba Stagefright bug, kvůli kterému operátoři vypínají podporu MMSek. Problém s lock screenem spíš ilustruje mizernou bezpečnostní situaci na Androidu a přístup Googlu k té situaci. Dost mi to připomíná MS kdysi v době, kdy jeho produkty měly největší problémy se zabezpečením.
-
j (neregistrovaný)
Jasne, na widle neexistuje asi tak bambiliarda postupu jak se do nich lokalne dostat. Vubec ne ... takovej Ophcrack to vubec nezvladne v radu vterin ... a nejen ze se dotycny do tech widli dostane lokalne, on se dokonce dozvi hesla vsech uzivatelu.
A nebo takovej ... M$ cmoud ... jooo, tomu se rika bezpecnost, virtualne umoznit userovi dlouhy heslo, ale ve skutecnosti pouzit jen prvnich 6 znaku. Ted je to prej vylepseny, tech znaku muze byt maximalne 16 ... to aby to M$ nemel moc slozity pri jejich lusteni ze?
-
Lael Ophir (neregistrovaný)
Jak to souvisí s Androidem? To že pokud na PC nepoužíváte šifrování ani SecureBoot, tak po bootu z jiného média můžete přimountovat disk a hrabat se v databázi uživatelů je poměrně logické. Na Linuxu tak můžete triviálně založit nového uživatele nebo změnit heslo stávajícímu.
Ad virtualne umoznit userovi dlouhy heslo, ale ve skutecnosti pouzit jen prvnich 6 znaku - toho jsem si nevšiml, kdy/kde to tak bylo?
Ad je to prej vylepseny, tech znaku muze byt maximalne 16 - k tomu MS vydal statement:
Please note our research has shown uniqueness is more important than length and (like all major account systems) we see criminals attempt to victimize our customers in various ways; however, while we agree that in general longer is better, we’ve found the vast majority of attacks are through phishing, malware infected machines and the reuse of passwords on third-party sites – none of which are helped by very long passwords. Sixteen characters has been the limit for years now. We will always prioritize the protection needs of users’ accounts and we will continue to monitor the new ways hijackers and spammers attempt to compromise accounts, and we design innovative features based on this. At this time, we encourage customers to frequently reset their Microsoft account passwords and use unique passwords that are different from other services. -
Pavel TišnovskýZlatý podporovatel
To je zajímavé, mají někde tu studii zveřejněnou? (fakt by mě to zajímalo, však debaty délka hesla vs. unikátnost se vedly i tady na rootu).
-
-
Seti (neregistrovaný)
On se vůbec M$ vyžívá v různém omezování :-D
http://www.ghacks.net/2015/09/16/make-sure-your-windows-10-start-menu-does-not-exceed-512-items/
-
nobody (neregistrovaný)
:-D tak hlavne ze ma Lael plnou hubu kecu o trvani 2mesice pridani v Adroidu omezeni na 500 znaku, ale ze Microsoftu trva uz 2 mesice zruseni omezeni na 512 polozek to je v pohode :-D hlavne nechapu jak Windows10 muze byt kvuli tomu nestabilni a zpomalenej, "chapal" bych kdyby proste dalsi polozky kvuli omezeni nezobrazoval, ale tohle je videt co to je za zprasenej hybridni system co neumi poradne nic ;)
-
Lael Ophir (neregistrovaný)
Popsaný problém se projevuje až při 512+ položkách ve Start Menu, což se nejspíš týká velmi malého procenta zákazníků. Problém je údajně v nějaké interní DB, která cachuje ty položky Start Menu, a změna kódu má kaskádové dopady. Problém se ovšem týká malého procenta uživatelů a nemá bezpečnostní dopady. Takže srovnání s možností odemknout telefon s Androidem bez hesla a dvěma měsíci na přidání jednoho řádku do zdrojáku je pěkná demagogie. Ale jinak v poho :)
-
Cohen (neregistrovaný)
Nevím, co si představujete pod zdrojem, ale to, co linkujete, je _názor_. Předpokládám, že Váš názor je podobný. Jenže můj nikoliv, ta chyba je sice poměrně kuriózní a nepřikládám jí velký význam, ale spíše ukazuje na problém v koncepci zamykací obrazovky.
Pokud ta aplikace spadne, systém by neměl pustit obrazovku k sezení. Může se jí pokusit restartovat, případně nahradit nějakou nouzovou a pokud to nezafunguje, neměl by být telefon dále použitelný. Zřejmě tam nějaký podobný princip je, ostatně v diskuzi ohledně chyby se píše o tom, že cokoliv jiného, než vstup do seznamu aplikací, vede k opětovnému uzamčení zařízení. Ale zjevně je ten systém naimplementovaný špatně a to mělo být opraveno, ne maximální velikost pole. To je jako zamknout si pokoj, protože tam máte bordel, místo toho, abyste si uklidil.
Pro srovnání - na iOSu to funguje tak, že pokud provádíte na zamknuté obrazovce jinou činnost než odemknutí telefonu, aplikace si může v rámci svých oprávnění vyžádat dešifrování svého kontejneru a s ním pak pracuje. Proto pokud se najde v dané aplikaci chyba, která útočníka pustí za hranice toho, co mu mělo být umožněno, může maximálně pracovat s daty oné aplikace, s ničím dalším, ostatní kontejnery jsou zašifrované a nepřístupné. Tomuto přístupu není z mého pohledu co vytknout, jde o velmi slušnou prevenci a co si pamatuji, tak už se to minimálně jednou Applu vyplatilo.
-
Filip JirsákStříbrný podporovatelOtázka je, zda zamykací obrazovka mobilního telefonu má být považována za nějaké významné zabezpečení. Třeba už jenom proto, jak málo entropie je obvykle v heslech (často PIN se 4 číslicemi nebo jednoduchý znak) a jak často se telefon odemyká – a pokud tedy někdo bude mít tu drzost lézt do cizího telefonu, nejspíš bude mít i tu drzost odpozorovat na první pokus PIN nebo znak (s heslem, o kterém je zprávička, by to přeci jen bylo trošku komplikovanější).
Myslím ,že u takhle primitivního „zabezpečení“ je legitimní i přístup „když to selže, hlavně ať je telefon dál použitelný“.
-
-
Pavel TišnovskýZlatý podporovatel
V tomto případě je situace docela úsměvná, protože se uživatelé (správně) poučují o tom, jak si mají volit dobrá (ne nutně dlouhá) hesla. Takže někdo takto poučený zahodí možnost použít pattern nebo čtyřmístný PIN a namísto toho si navolí odemykání na základě hesla. A právě na tyto uživatele teď všichni mají skvěle popsaný vektor útoku...
