Teleoperaattorit huomio

AAVOITTUVUUDET Haavoittuvuus mahdollistaa haitalliset päivitykset turvallisiksi todettuihin sovelluksiin. Yksi asia pelastaa uhkalta.
Android 5.0 Lollipopissa ja sitä myöhemmissä Android-versioissa on haavoittuvuus, joka mahdollistaa turvallisten sovellusten päivittämisen vaarallisiksi ilman mitään hälytyksiä. Ongelman havaitsi tietoturvayhtiö GuardSquare, ja asiasta uutisoivat muun muassa BetaNews ja Threatpost.

Aukolle on annettu nimi Janus. Se koskee Androidin tapaa lukea sovellusten digitaalisia allekirjoituksia. Hyökkääjä voisi syöttää haitallisia tiedostoja muuten kunnolliseen sovelluspäivitykseen. Samalla haitalliseksi muuttunut sovellus perii kaikki alkuperäisen sovelluksen oikeudet, mikä voi altistaa uhrin monille vahingoille.

Google on korjannut aukon, mutta kuten tavallista, se on toistaiseksi laiha lohtu valtavalle enemmistölle käyttäjiä. Korjauksesta nauttivat vasta Googlen puhelinten omistajat, ja muut ovat puhelinvalmistajansa tai teleoperaattorinsa armoilla.

Uhkalta voi suojautua yksinkertaisesti lataamalla sovelluksensa vain virallisesta Google Play -kaupasta. Sovellusten saastuttaminen Janus-menetelmällä toimii vain epävirallisten kauppojen kautta ladatuissa sovelluksissa.

Lisäksi aukko koskee vain niin sanotulla v1-allekirjoituksella varustettuja sovelluksia. V2-allekirjoituksella varustetut sovellukset ovat suojassa. Käytetyn allekirjoituksen tarkistaminen on kuitenkin tavalliselle käyttäjälle konstikasta.