Android ranjivost: PIN-ovi i kripto-novčanici u opasnosti

Kada je riječ o sigurnosti pametnih telefona, većina korisnika pretpostavlja da je PIN ili biometrija dovoljna za zaštitu. Međutim, najnovije otkriće Ledgerovog Donjon tima razbija tu iluziju: kritična ranjivost u MediaTek čipovima omogućava napadačima trenutni pristup PIN-ovima, porukama, fotografijama i kripto-novčanicima — čak i kada je uređaj isključen. Problem nije u softveru, već u hardveru koji pokreće preko 37% svih Android uređaja na tržištu, prema podacima Counterpoint Research.

Otkriće je posebno zabrinjavajuće za korisnike koji koriste pametne telefone kao 'digitalne sefove' za kripto-valute. Prema dostupnim informacijama, napadači mogu iskoristiti ranjivost da zaobidju zaštitu na razini operacijskog sustava, što znači da ni najnoviji Android update ne može spriječiti eksplorataciju. Čini se da je problem duboko ukorenjen u način na koji MediaTek čipovi upravljaju memorijom, što ga čini teškim za popravak bez fizičke zamjene hardvera.

Za razliku od uobičajenih softverskih propusta, ovaj problem ne zahtijeva da korisnik otvori zlonamjerni link ili instalira aplikaciju. Dovoljno je da napadač dođe u fizički kontakt s uređajem — na primjer, kroz ukradeni ili 'posuđeni' telefon. To mijenja igru za sigurnost mobilnih uređaja, jer više nije dovoljno osloniti se na PIN ili šifru za zaštitu podataka.

Praktično, ovo znači da korisnici s MediaTek čipovima — koji se nalaze u uređajima proizvođača poput Xiaomi, Oppo, Realme i drugih — trebaju razmisliti o alternativnim rješenjima za pohranu osjetljivih podataka. Kripto-novčanici, bankovne aplikacije i privatne poruke više nisu sigurne na tim uređajima, barem ne dok proizvođači ne objave hardversko rješenje. Google i MediaTek još nisu javno komentirali kada će biti dostupna zakrpa, ali prema ranim signalima, rješenje bi moglo zahtijevati zamjenu čipova, što je nepraktično za većinu korisnika.

Industrijski analitičari upozoravaju da bi ovaj slučaj mogao ubrzati tranziciju prema hardverskim sigurnosnim modulima (HSM) u pametnim telefonima, slično kao što Apple koristi u svojim iPhoneovima. Međutim, za većinu Android proizvođača, to bi značilo povećanje troškova proizvodnje, što bi moglo rezultirati skokom cijena za krajnje korisnike. Dio korisničke zajednice već reagira preporukama za prelazak na uređaje s Qualcomm čipovima, koji (za sada) nisu pogođeni ovom ranjivošću.

Što je možda još važnije, ovo otkriće postavlja pitanje: jesu li pametni telefoni ikada bili dizajnirani kao sigurni prostori za pohranu visokovrijednih podataka? Odgovor je, prema sve više glasova u industriji, negativan. Ako se ovo potvrdi kao sistemski problem, moglo bi dovesti do većeg pritiska na proizvođače da ugrade dodatne sigurnosne slojeve — ili čak do regulativnih promjena koje bi zahtijevale minimalne hardverske standarde za zaštitu podataka.

Drugim riječima, ovo nije samo još jedan sigurnosni propust — to je dokaz da je Android ekosustav dospio do točke gdje softverske zakrpe više nisu dovoljne. Proizvođači će morati reprizirati svoj pristup sigurnosti, počevši od samog hardvera.