قام صائد جوائز البق يدعى David Schütz بنشر ملف تقرير مفصل يصف كيف تجاوز السيوف مع Google لعدة أشهر بسبب ما اعتبره ثغرة أمنية خطيرة في Android.
وفقًا لشوتز ، فقد عثر على خطأ تجاوز قفل شاشة Android بالكامل عن طريق الصدفة تمامًا في يونيو 2022 ، في ظل ظروف الحياة الواقعية التي كان من الممكن أن تحدث بسهولة لأي شخص.
بعبارة أخرى ، كان من المعقول أن نفترض أن أشخاصًا آخرين قد يتعرفون على الخلل دون أن يتعمدوا البحث عن الأخطاء ، مما يجعل اكتشافه والكشف عنه علنًا (أو إساءة الاستخدام الخاصة) أكثر احتمالية من المعتاد.
لسوء الحظ ، لم يتم تصحيحه حتى نوفمبر 2022 ، وهذا هو السبب في أنه لم يكشف عنه إلا الآن.
صدفة انقطاع البطارية
ببساطة ، وجد الخطأ لأنه نسي إيقاف تشغيل هاتفه أو شحنه قبل الانطلاق في رحلة طويلة ، تاركًا الجهاز ينفد من العصير دون أن يلاحظه أحد أثناء وجوده على الطريق.
وفقًا لشوتز ، كان يسارع لإرسال بعض الرسائل بعد وصوله إلى المنزل (نعتقد أنه كان على متن طائرة) مع وجود كمية ضئيلة من الطاقة المتبقية في البطارية ...
... عندما مات الهاتف.
لقد كنا جميعًا هناك ، نتدرب للحصول على شاحن أو حزمة بطارية احتياطية لإعادة تشغيل الهاتف لإعلام الناس بأننا وصلنا بأمان ، وننتظر عند استعادة الأمتعة ، ووصلنا إلى محطة القطار ، ونتوقع العودة إلى المنزل في 45 دقيقة ، يمكن أن يتوقف عند المتاجر إذا كان أي شخص بحاجة ماسة إلى أي شيء ، أو أي شيء لدينا لنقوله.
وقد كافحنا جميعًا مع كلمات المرور وأرقام التعريف الشخصية عندما نكون في عجلة من أمرنا ، خاصةً إذا كانت رموزًا نادرًا ما نستخدمها ولم نطور "ذاكرة عضلية" للكتابة فيها.
في حالة شوتز ، كان رقم التعريف الشخصي المتواضع على بطاقة SIM الخاصة به هو الذي أذهله ، ولأن أرقام PIN الخاصة ببطاقة SIM يمكن أن تكون أقصر من أربعة أرقام ، فهي محمية بقفل للأجهزة يحدك من ثلاثة تخمينات على الأكثر. (لقد كنا هناك ، وفعلنا ذلك ، وحبسنا أنفسنا).
بعد ذلك ، تحتاج إلى إدخال "رقم التعريف الشخصي الرئيسي" المكون من 10 أرقام والمعروف باسم PUK ، وهو اختصار مفتاح فك القفل الشخصي، والتي تتم طباعتها عادةً داخل العبوة التي تُباع فيها بطاقة SIM ، مما يجعلها غير قابلة للعبث إلى حد كبير.
وللحماية من هجمات التخمين الخاصة بـ PUK ، تقوم بطاقة SIM تلقائيًا بتجفيف نفسها بعد 10 محاولات خاطئة ، وتحتاج إلى استبدالها ، وهو ما يعني عادةً التوجه إلى متجر للهواتف المحمولة مع تحديد الهوية.
ماذا فعلت بهذه العبوة؟
لحسن الحظ ، نظرًا لأنه لم يكن ليعثر على الخطأ بدونه ، حدد شوتز عبوة بطاقة SIM الأصلية مخبأة في مكان ما في خزانة ، وخدش الشريط الواقي الذي يحجب الاتحاد الوطني الكردستاني ، وقام بكتابته.
في هذه المرحلة ، نظرًا لأنه كان بصدد بدء تشغيل الهاتف بعد نفاد الطاقة ، كان يجب أن يرى شاشة قفل الهاتف تطالبه بكتابة رمز إلغاء قفل الهاتف ...
... لكن ، بدلاً من ذلك ، أدرك أنه كان كذلك في النوع الخاطئ من شاشة القفل، لأنها كانت تقدم له فرصة لفتح الجهاز باستخدام بصمة إصبعه فقط.
من المفترض أن يحدث ذلك فقط إذا تم قفل هاتفك أثناء الاستخدام المنتظم ، ولا يُفترض أن يحدث بعد انقطاع التيار الكهربائي وإعادة التشغيل ، عند إعادة مصادقة رمز المرور بالكامل (أو أحد "رموز النمط" للتمرير السريع لإلغاء القفل. ) يجب أن يتم فرضه.
هل هناك حقًا "قفل" في شاشة القفل الخاصة بك؟
كما تعلم على الأرجح من مرات عديدة قمنا كتب عن البق قفل الشاشة على مر السنين في Naked Security ، المشكلة في كلمة "lock" في lockscreen هي أنها ببساطة ليست استعارة جيدة لتمثيل مدى تعقيد الكود الذي يدير عملية "قفل" و "فتح" الهواتف الحديثة.
تشبه شاشة القفل المحمولة الحديثة الباب الأمامي للمنزل الذي يحتوي على قفل ديدبولت عالي الجودة ...
... ولكن يحتوي أيضًا على صندوق بريد (فتحة بريد) ، وألواح زجاجية للسماح بدخول الضوء ، وغطاء قطة ، وقفل زنبركي قابل للإلغاء تعلمت الاعتماد عليه لأن القفل المطلق يمثل نوعًا من المتاعب ، وجرس باب لاسلكي خارجي / كاميرا أمان يسهل سرقتها على الرغم من احتوائها على كلمة مرور Wi-Fi بنص عادي وآخر 60 دقيقة من لقطات الفيديو التي تم تسجيلها.
أوه ، وفي بعض الحالات ، حتى الباب الأمامي الذي يبدو آمنًا سيكون لديه مفاتيح "مخفية" أسفل ممسحة على أي حال ، وهو إلى حد كبير الموقف الذي وجد شوتز نفسه فيه على هاتف Android الخاص به.
خريطة للممرات الملتوية
لا تتعلق شاشات قفل الهاتف الحديثة بقفل هاتفك بقدر ما تقيد تطبيقاتك بأوضاع تشغيل محدودة.
يتيح لك هذا عادةً ، وللتطبيقات الخاصة بك ، إمكانية الوصول إلى شاشة القفل إلى مجموعة وفيرة من ميزات "الحالة الخاصة" ، مثل تنشيط الكاميرا دون إلغاء التنصت ، أو ظهور مجموعة منسقة من رسائل الإعلام أو سطور موضوع البريد الإلكتروني حيث يمكن لأي شخص رؤيتها بدون رمز المرور.
ما واجهه شوتز ، في تسلسل عمليات لا يُستثنى تمامًا ، كان خطأً في ما يُعرف في المصطلحات باسم شاشة القفل آلة الدولة.
آلة الحالة هي نوع من الرسم البياني ، أو الخريطة ، للظروف التي يمكن أن يكون فيها البرنامج ، جنبًا إلى جنب مع الطرق القانونية التي يمكن للبرنامج أن ينتقل بها من حالة إلى أخرى ، مثل تبديل اتصال الشبكة من "الاستماع" إلى " متصل "، ثم من" متصل "إلى" تم التحقق منه "، أو تحول شاشة الهاتف من" مقفل "إما إلى" غير قابل للفتح ببصمة الإصبع "أو" غير قابل للفتح ولكن برمز مرور فقط ".
كما يمكنك أن تتخيل ، فإن آلات الحالة الخاصة بالمهام المعقدة تتعقد بسرعة ، ويمكن أن تنتهي خريطة المسارات القانونية المختلفة من حالة إلى أخرى مليئة بالمنعطفات والمنعطفات ...
... وأحيانًا ممرات سرية غريبة لم يلاحظها أحد أثناء الاختبار.
في الواقع ، كان شوتز قادرًا على استغلال اكتشافه غير المقصود لـ PUK في تجاوز عام لشاشة القفل يمكن من خلاله لأي شخص التقط (أو سرق ، أو كان لديه وصول قصير إلى) جهاز Android مقفلًا أن يخدعه في حالة غير مؤمنة مسلحة بما لا يزيد عن بطاقة SIM جديدة خاصة بهم ومقطع ورق.
في حال كنت تتساءل ، فإن مشبك الورق هو إخراج بطاقة SIM الموجودة بالفعل في الهاتف بحيث يمكنك إدخال بطاقة SIM الجديدة وخداع الهاتف في حالة "أحتاج إلى طلب رقم التعريف الشخصي لبطاقة SIM الجديدة هذه لأسباب أمنية". يعترف شوتز أنه عندما ذهب إلى مكاتب Google لإثبات الاختراق ، لم يكن لدى أي شخص قاذف SIM مناسب ، لذلك جربوا أولاً إبرة ، تمكن شوتز من طعن نفسه بها ، قبل أن ينجح في الحصول على قرط مستعار. نشك في أن ثقب الإبرة في النقطة أولاً لم ينجح (من الصعب ضرب دبوس القاذف بنقطة صغيرة) لذلك قرر المخاطرة باستخدامه يشير إلى الخارج مع "توخي الحذر الشديد" ، وبالتالي تحويل محاولة القرصنة إلى حرف الاختراق. (لقد كنا هناك ، وفعلنا ذلك ، وشقنا أنفسنا بأطراف الأصابع).
التلاعب بالنظام بشريحة SIM جديدة
نظرًا لأن المهاجم يعرف كلاً من رمز PIN و PUK الخاص ببطاقة SIM الجديدة ، فيمكنه تعمد فهم رقم التعريف الشخصي بشكل خاطئ ثلاث مرات ثم الحصول على رمز PUK على الفور ، وبالتالي إجبار جهاز حالة شاشة القفل عن عمد على الدخول في الحالة غير الآمنة التي اكتشفها شوتز عن طريق الخطأ.
مع التوقيت المناسب ، وجد شوتز أنه لا يمكنه الهبوط على صفحة فتح بصمة الإصبع فقط عندما لا يُفترض أن تظهر ، بل يخدع الهاتف أيضًا لقبول إلغاء قفل PUK الناجح كإشارة لرفض شاشة بصمة الإصبع و "التحقق من" عملية إلغاء القفل بأكملها كما لو أنه كتب رمز قفل الهاتف بالكامل.
فتح تجاوز!
لسوء الحظ ، يصف الكثير من مقالة شوتز طول الوقت الذي استغرقته Google للرد على هذه الثغرة الأمنية ولإصلاحها ، حتى بعد أن قرر مهندسو الشركة أن الخطأ قابل للتكرار والاستغلال بالفعل.
كما قال شوتز نفسه:
كانت هذه هي أكثر نقاط الضعف تأثيراً التي وجدتها حتى الآن ، وقد تجاوزت الحد بالنسبة لي حيث بدأت بالفعل في القلق بشأن الجدول الزمني للإصلاح وحتى بشأن الاحتفاظ بها كـ "سر" بنفسي. قد أكون أبالغ في ردة فعلي ، لكنني أعني منذ وقت ليس ببعيد أن مكتب التحقيقات الفيدرالي كان يقاتل مع شركة Apple من أجل نفس الشيء تقريبًا.
تأخير الإفشاء
نظرًا لموقف Google تجاه الإفصاح عن الأخطاء ، فإن فريق Project Zero الخاص بها حازم على نحو سيء السمعة بشأن الحاجة إلى تحديد أوقات إفشاء صارمة و التمسك بها، ربما كنت تتوقع أن تلتزم الشركة بقواعد 90 يومًا زائد 14 إضافية في الحالات الخاصة.
لكن وفقًا لشوتز ، لم تتمكن Google من إدارتها في هذه الحالة.
على ما يبدو ، وافق على موعد في أكتوبر 2022 يخطط بحلوله للإفصاح عن الخطأ علنًا ، كما فعل الآن ، والذي يبدو أنه متسع من الوقت لخلل اكتشفه مرة أخرى في يونيو 2022.
لكن جوجل غاب عن الموعد النهائي في أكتوبر.
ظهر تصحيح الخلل ، رقم الخطأ المحدد CVE-2022-20465 ، أخيرًا في تصحيحات أمان Android لشهر نوفمبر 2022 ، بتاريخ 2022-11-05 ، مع Google واصفا الإصلاح على النحو التالي: "لا تتجاهل حارس المفاتيح بعد فتح رمز PUK لبطاقة SIM."
من الناحية الفنية ، كان الخطأ هو ما يُعرف بـ حالة السباق، أين جزء نظام التشغيل الذي كان يشاهد عملية دخول PUK لتتبع "هل من الآمن فتح بطاقة SIM الآن؟" انتهى الأمر بإصدار إشارة نجاح تفوقت على الرمز الذي كان يتتبع في الوقت نفسه "هل هو آمن لفتح الجهاز بأكمله؟"
ومع ذلك ، أصبح شوتز الآن أكثر ثراءً بفضل مكافآت جوجل للأخطاء (يشير تقريره إلى أنه كان يأمل في الحصول على 100,000 دولار ، لكنه اضطر إلى تسوية 70,000 ألف دولار في النهاية).
وقد تأخر عن الكشف عن الخطأ بعد الموعد النهائي 15 أكتوبر 2022 ، وقبول أن التقدير هو الجزء الأفضل في بعض الأحيان من الشجاعة ، قائلاً:
كنت خائفًا جدًا من إخماد الحشرة الحية بالفعل ، وبما أن الإصلاح كان على بعد أقل من شهر ، لم يكن الأمر يستحق ذلك على أي حال. قررت انتظار الإصلاح.
ماذا ستفعلين.. إذًا؟
تحقق من تحديث جهاز Android الخاص بك: الإعدادات > حماية > تحديث الأمان > فحص التحديثات.
لاحظ أنه عندما قمنا بزيارة تحديث الأمان الشاشة ، بعد أن لم تستخدم هاتف Pixel الخاص بنا لفترة من الوقت ، أعلن Android بجرأة النظام الخاص بك محدث، مما يدل على أنه تم التحقق تلقائيًا قبل دقيقة أو نحو ذلك ، ولكن لا يزال يخبرنا أننا كنا على October 5, 2022 تحديث أمني.
أجبرنا على إجراء فحص تحديث جديد يدويًا وتم إبلاغنا بذلك على الفور جارٍ تحضير تحديث النظام ...، يليه تنزيل قصير ، ومرحلة تمهيدية طويلة ، ثم طلب إعادة التشغيل.
بعد إعادة التشغيل وصلنا إلى November 5, 2022 مستوى التصحيح.
ثم عدنا وقمنا بواحدة أخرى فحص التحديثات لتأكيد عدم وجود إصلاحات معلقة.
استخدمنا الإعدادات > حماية > تحديث الأمان للوصول إلى صفحة فرض التنزيل:
التاريخ الذي تم الإبلاغ عنه بدا خاطئًا ، لذلك أجبرنا Android على ذلك فحص التحديثات على أي حال:
كان هناك بالفعل تحديث للتثبيت:
بدلا من الانتظار اعتدنا سيرة ذاتية للمتابعة في الحال:
تم اتباع عملية تحديث مطولة:
قمنا بواحدة أخرى فحص التحديثات لتأكيد وجودنا هناك:
