Bug di Linux, a rischio un miliardo e mezzo di smartphone Android

Vulnerabile l'80% di tutti gli utenti del sistema di Google.



[ZEUS News - www.zeusnews.it - 16-08-2016]

Android bug linux

A volte, la soluzione a un problema non fa altro che crearne un altro, magari persino peggiore.

Nel 2012, con l'introduzione del kernel 3.6, Linux iniziò a implementare la RFC 5961, progettata per prevenire certi tipi di attacco via Internet.

All'epoca non se ne accorse nessuno, ma il modo stesso in cui quella RFC è progettata apre le porte a un altro tipo di attacco, che al giorno d'oggi è presente in tutti i dispositivi basati su Android 4.4 KitKat e successivi, compreso il non ancora rilasciato Android 7 Nougat.

Ciò significa che 1,4 miliardi di dispositivi Android - o, altrimenti detto, circa l'80% degli utenti del sistema di Google - sono vulnerabili al nuovo attacco.

Grazie alla falla è possibile per chiunque possieda una connessione a Internet determinare se due parti - per esempio, un utente col suo smartphone e un server - stiano utilizzando una connessione TCP long-lived e, se la connessione non è crittografata, inserire nel traffico codice o contenuti arbitrari, anche pericolosi.

La particolare pericolosità di questo attacco sta nel fatto che non è necessario avere una particolare "posizione" per sfruttare la vulnerabilità (come negli attacchi man-in-the-middle): chiunque in Internet sia dotato delle adeguate conoscenze può farlo prendendo di mira qualunque vittima.

Non a caso l'exploit viene definito dagli addetti ai lavori off-path: non è necessario trovarsi "sul percorso" della connessione per interferire con essa.

Si potrebbe pensare che, per difendersi, sia sufficiente usare sempre una connessione crittografata, ma ciò è vero solo in parte: la falla permette di determinare se esista un canale e chiudere la connessione.

Tutto ciò permette di dipingere scenari pericolosi: si potrebbe per esempio inserire nei siti visitati da utenti con dispositivi Android del codice JavaScript da utilizzare per attacchi di phishing, magari facendo apparire un messaggio che indichi all'utente che è stato effettuato il logout e spingendolo così a introdurre nuovamente le sue credenziali (e in tal modo rubandole, ovviamente).

Oppure si possono sfruttare vulnerabilità non corrette nel browser o nell'app per le email o per la chat: le possibilità sono molto numerose.

Sondaggio
Quale di questi consigli ritieni più importante per una vacanza all'insegna della sicurezza?
Aggiornare il sistema operativo, i programmi installati e le applicazioni, eliminando così eventuali falle di sicurezza già scoperte.
Evitare di usare WLAN pubbliche (in hotel, Internet Café, aeroporto...): solitamente sono protette in maniera inadeguata e i dati possono essere spiati. Meglio utilizzare una connessione mobile UMTS.
Evitare di fare online banking in vacanza e non scaricare o salvare dati personali e sensibili su Pc pubblici.
Creare un indirizzo ad hoc per inviare cartoline elettroniche via email, da disattivare al rientro qualora venisse compromesso.
Impostare una password all'accensione su smartphone e tablet e un PIN per lo sblocco della tastiera.
Fare il backup del notebook o del netbook che si porta in vacanza, crittografando i dati per limitare i danni in caso di furto.

Mostra i risultati (1886 voti)
Leggi i commenti (10)

Per fortuna, portare l'attacco non è immediato: a chi voglia sfruttare la falla servono circa 10 secondi per controllare se i due estremi della connessione (l'utente Android e il server) sono connessi; poi altri 45 secondi per inserire il contenuto o il codice.

Insomma: non è un sistema che permetta di prendere di mira moltissime persone, tuttavia contro singoli bersagli precisi è estremamente efficace.

Le aziende interessate dal problema - le varie distribuzioni Linux, ma soprattutto Google per quanto riguarda Android - stanno lavorando alla preparazione e distribuzione di una patch: nel kernel, il problema è stato risolto con la versione 4.7, ma non tutti adoperano l'ultimissimo kernel, e ciò è particolarmente vero in Android, dove aggiornare il kernel generalmente non è possibile senza dover cambiare versione del sistema (operazioni non sempre consentita).

Il gigante di Mountain View ha spiegato che i suoi sviluppatori «sono al corrente della vulnerabilità e stanno intraprendendo le azioni necessarie» ma fa fatto anche notare che «la falla è all'interno delle versioni vulnerabili del kernel Linux e non è specifica di Android».

La vulnerabilità è stata classificata come «moderata» e con ogni probabilità sarà corretta in Nougat. Non è possibile sapere che cosa Google - e i vari produttori di hardware - intendano fare con le versioni precedenti.

In attesa di una correzione, usare connessioni criptate o una VPN può aiutare a ridurre l'esposizione ai rischi.

Se questo articolo ti è piaciuto e vuoi rimanere sempre informato con Zeus News ti consigliamo di iscriverti alla Newsletter gratuita. Inoltre puoi consigliare l'articolo utilizzando uno dei pulsanti qui sotto, inserire un commento (anche anonimo) o segnalare un refuso.
© RIPRODUZIONE RISERVATA

Commenti all'articolo (ultimi 5 di 15)

{Paolo Del Bene}
@ictuscano si parlare di CopyRight del website a partire dal 2004 fino al 2016. Non mi sembra pero' che ti sia difficile contattare link[/url] e chiedere a John Sullivan a quando risale la notizia. Io ho sottoposto alla tua attenzione un telefono, ma non riesco a capire come ti possa fermare solo a guardate uno schermo che è... Leggi tutto
5-11-2016 20:12

{ictuscano}
@{Paolo Del Bene} Ultimo commento, altrimenti qui stiamo a fare una discussione a due che magari non interessa nessuno. Tu scrivi: "oppure tirate fuori almeno 300.000.000 di euro e fare una factory che produca UNTRUSTED HARDWARE. Le chiacchiere stanno a zero" Ma lo dici TU A ME?? Ma è quello che IO ti ho detto nel mio commento:... Leggi tutto
18-8-2016 11:05

{ictuscano}
@{Paolo Del Bene} "Dell'MS-DOS che vai tanto sbandierando come la panacea" ma non hai compreso proprio niente del mio ragionamento, scusa sai. Io ho solo detto che a quei tempi si poteva "maneggiare in proprio un SO", adesso non è più possibile, è una questione troppo complicata, ed a... Leggi tutto
18-8-2016 10:44

{ictuscano}
@{Paolo Del Bene} Mah, cosa c'entri la storia del DOS, DR Dos ecc. ho da capirlo. Per il resto, il GTA04 sarebbe quel coso del link? Cioè una scheda che sostituisce quella precedente nell'OpenMoko? Secondo me è importante lo schermo o come funziona il SO? ma che ragionamento è? OVVIO che è importante... Leggi tutto
18-8-2016 10:41

{Paolo Del Bene}
@ictuscano GTA04 phone link[/url] AllWinners: [url=http://forum.zeusnews.com/link/331372]link[/url] Hardware [url=http://forum.zeusnews.com/link/331373]link[/url] Rms Computing: [url=http://forum.zeusnews.com/link/331374]link[/url] È una grandissima sintesi di ciò che avrei voluto scriverti e che avrebbe richiesto... Leggi tutto
18-8-2016 05:41

La liberta' di parola e' un diritto inviolabile, ma nei forum di Zeus News vige un regolamento che impone delle restrizioni e che l'utente e' tenuto a rispettare. I moderatori si riservano il diritto di cancellare o modificare i commenti inseriti dagli utenti, senza dover fornire giustificazione alcuna. Gli utenti non registrati al forum inoltre sono sottoposti a moderazione preventiva. La responsabilita' dei commenti ricade esclusivamente sui rispettivi autori. I principali consigli: rimani sempre in argomento; evita commenti offensivi, volgari, violenti o che inneggiano all'illegalita'; non inserire dati personali, link inutili o spam in generale.
E' VIETATA la riproduzione dei testi e delle immagini senza l'espressa autorizzazione scritta di Zeus News. Tutti i marchi e i marchi registrati citati sono di proprietà delle rispettive società. Informativa sulla privacy. I tuoi suggerimenti sono di vitale importanza per Zeus News. Contatta la redazione e contribuisci anche tu a migliorare il sito: pubblicheremo sui forum le lettere piu' interessanti.
Sondaggio
Qui sotto trovi in ordine alfabetico i 20 marchi più pregiati nel 2014, secondo la celebre classifica compilata da Millward Brown. Secondo te qual è il più pregiato? Confronta poi il tuo voto con questo link.
Amazon
Apple
AT&T
China Mobile
Coca-Cola
GE
Google
IBM
Industrial and Commercial Bank of China
McDonald's
Marlboro
Mastercard
Microsoft
SAP
Tencent
UPS
Verizon
Visa
Vodafone
Wells Fargo

Mostra i risultati (2639 voti)
Dicembre 2024
Wubuntu cerca di unire il meglio di Windows e di Linux
Diffamazione, il mondo virtuale non equivale a quello reale
Il router completamente open source
Windows 11 perde utenti nonostante gli sforzi di Microsoft
Novembre 2024
Huawei, l'addio ad Android è completo
Contanti e trionfanti
WhatsApp, la trascrizione dei messaggi vocali è realtà
La vecchietta digitale che fa perdere tempo ai truffatori telefonici
La punteggiatura è morta: l'ha uccisa l'iPhone
Elon Musk e l'attacco ai giudici italiani
D-Link, falla in migliaia di NAS non sarà mai corretta
L'app per aggiornare a Windows 11 anche i PC non supportati
Lo script per aggirare i requisiti hardware di Windows 11
Windows, ora si può accede allo smartphone senza il cavo USB
Ottobre 2024
San Francisco, 200 milioni per liberare la metropolitana dai floppy disk
Tutti gli Arretrati
Accadde oggi - 13 dicembre


web metrics