В приложениях из Google Play нашли незащищенные ключи шифрования
Десятки тысяч приложений из каталога Google Play содержат незащищенные ключи шифрования, выяснил Уилл Дорманн, аналитик по уязвимостям программного обеспечения Координационного центра CERT. По его словам, он проверил около двух миллионов программ для Android, значительная часть из которых оказалась подвержена риску взлома.
«Я проверял только бесплатные приложения, - пояснил Дорманн, - но не сомневаюсь, что платные приложения подвержены аналогичной проблеме. Я уверен, что, платя [за приложения] даже минимальные 99 центов, я расплачиваюсь чем-то гораздо большим.
По словам Дорманна, ему удалось обнаружить как минимум 20 000 программ с незащищенными ключами PGP, кодами VPN и паролями администратора. В их числе оказались приложения вполне авторитетных разработчиков, например, клиент для управления «умным» домом от Samsung. При должной сноровке злоумышленники могли без особого труда взломать даже дверные замки с задатками интеллекта.
Хранилища программных ключей, в свою очередь, оказались также незащищенными. Например, Java и Bouncy Castle не шифруются на уровне контейнера, полагаясь на защиту паролями. Последние успешно взламываются при помощи взломщиков Jack the Ripper и Hashcat. Hashcat в этом случае будет даже полезнее, говорит Дорманн, поскольку он знаком с человеческими привычками использовать даты и делать заглавной самую первую букву в пароле.
