 |
| Penjahat dapat mencuri sidik jari anda lewat Samsung Galaxy S5 milik anda |
RSA 2015 Malware dapat snaffle sidik jari yang digunakan untuk membuka Samsung Galaxy S5 smartphone berkat kesalahan keamanan, peneliti mengklaim.
Kerentanan, karena yang akan dibahas pada konferensi keamanan RSA di San Francisco minggu ini, mungkin ada di ponsel non-Android Samsung, juga.
Smartphone saat ini mengakui sidik jari pemiliknya 'sehingga mereka dapat dibuka dan mengotorisasi transaksi. Cetak yang dipindai dibandingkan terhadap salinan diadakan dalam TrustZone smartphone, daerah aman dari perangkat berdinding dari aplikasi dan Android.
TrustZone disediakan oleh prosesor ARM-kompatibel telepon: itu adalah juru kunci yang memisahkan kode sensitif dan data - seperti sidik jari memeriksa software - dari sisa mobile, termasuk sistem operasi, kernel, dan malware yang mungkin mengintai.
Ketika Anda menekan jari Anda terhadap perangkat, kode TrustZone mengakses sensor, memeriksa scan, dan mengatakan Android apakah cetak diakui. Hanya kode TrustZone harus bisa membacakan sensor.
Sementara ini terdengar besar secara teori, implementasi dari lingkungan yang aman tidak pernah sempurna.
Yulong Zhang Tao dan Wei dari FireEye mengatakan mereka telah menemukan cara untuk merebut scan sidik jari ketika pengguna menekan nya jari terhadap telepon: rupanya, perangkat lunak yang berjalan dengan hak istimewa sistem-tingkat dan kode TrustZone keduanya memiliki akses ke sensor sidik jari di Samsung Galaxy S5.
Ini berarti bahwa malware sistem perizinan keuntungan dapat membaca sidik jari langsung dari sensor, kita diberitahu. Sebuah bajingan bisa menyajikan layar kunci palsu, membaca sensor sidik jari ketika korban mencoba untuk membuka kunci perangkat mereka, dan merebut salinan cetakan.
"Jika penyerang dapat mematahkan kernel, meskipun ia tidak dapat mengakses data sidik jari yang disimpan di zona terpercaya, dia bisa langsung membaca sensor sidik jari setiap saat," kata Zhang wartawan infosec Tom Fox-Brewster pekan ini.
"Setiap kali Anda menyentuh sensor sidik jari, penyerang dapat mencuri sidik jari Anda."
Data ini dapat digunakan untuk mengotorisasi transaksi, itu diklaim. Zhang dan Wei adalah karena menyajikan temuan mereka pada konferensi RSA pada hari Jumat, dan akan mengungkapkan kerentanan lain juga. Anda dapat menemukan slide di sini [PDF] dan ringkasan di sini, yang mencatat:
Kami akan membahas masalah keamanan desain saat ini, termasuk serangan bingung otorisasi, kerentanan TrustZone, backdoors sidik jari pra-tertanam, dan hash sidik jari serangan tabrakan. Kami juga akan menampilkan demo hidup, seperti pembajakan PayPal dilindungi oleh sidik jari.
Samsung sedang menyelidiki klaim pasangan itu, tapi itu tidak tersedia untuk komentar pada saat publikasi.
Kelemahan keamanan dalam sistem sidik jari TouchID di Apple iPhone telah dikenal tentang selama beberapa tahun. Ini sebagian besar berputar di sekitar kegagalan untuk mendeteksi sidik jari palsu yang terbuat dari Gummi Bears dan bahan yang sama.
Kerentanan, karena yang akan dibahas pada konferensi keamanan RSA di San Francisco minggu ini, mungkin ada di ponsel non-Android Samsung, juga.
Smartphone saat ini mengakui sidik jari pemiliknya 'sehingga mereka dapat dibuka dan mengotorisasi transaksi. Cetak yang dipindai dibandingkan terhadap salinan diadakan dalam TrustZone smartphone, daerah aman dari perangkat berdinding dari aplikasi dan Android.
TrustZone disediakan oleh prosesor ARM-kompatibel telepon: itu adalah juru kunci yang memisahkan kode sensitif dan data - seperti sidik jari memeriksa software - dari sisa mobile, termasuk sistem operasi, kernel, dan malware yang mungkin mengintai.
Ketika Anda menekan jari Anda terhadap perangkat, kode TrustZone mengakses sensor, memeriksa scan, dan mengatakan Android apakah cetak diakui. Hanya kode TrustZone harus bisa membacakan sensor.
Sementara ini terdengar besar secara teori, implementasi dari lingkungan yang aman tidak pernah sempurna.
Yulong Zhang Tao dan Wei dari FireEye mengatakan mereka telah menemukan cara untuk merebut scan sidik jari ketika pengguna menekan nya jari terhadap telepon: rupanya, perangkat lunak yang berjalan dengan hak istimewa sistem-tingkat dan kode TrustZone keduanya memiliki akses ke sensor sidik jari di Samsung Galaxy S5.
Ini berarti bahwa malware sistem perizinan keuntungan dapat membaca sidik jari langsung dari sensor, kita diberitahu. Sebuah bajingan bisa menyajikan layar kunci palsu, membaca sensor sidik jari ketika korban mencoba untuk membuka kunci perangkat mereka, dan merebut salinan cetakan.
"Jika penyerang dapat mematahkan kernel, meskipun ia tidak dapat mengakses data sidik jari yang disimpan di zona terpercaya, dia bisa langsung membaca sensor sidik jari setiap saat," kata Zhang wartawan infosec Tom Fox-Brewster pekan ini.
"Setiap kali Anda menyentuh sensor sidik jari, penyerang dapat mencuri sidik jari Anda."
Data ini dapat digunakan untuk mengotorisasi transaksi, itu diklaim. Zhang dan Wei adalah karena menyajikan temuan mereka pada konferensi RSA pada hari Jumat, dan akan mengungkapkan kerentanan lain juga. Anda dapat menemukan slide di sini [PDF] dan ringkasan di sini, yang mencatat:
Kami akan membahas masalah keamanan desain saat ini, termasuk serangan bingung otorisasi, kerentanan TrustZone, backdoors sidik jari pra-tertanam, dan hash sidik jari serangan tabrakan. Kami juga akan menampilkan demo hidup, seperti pembajakan PayPal dilindungi oleh sidik jari.
Samsung sedang menyelidiki klaim pasangan itu, tapi itu tidak tersedia untuk komentar pada saat publikasi.
Kelemahan keamanan dalam sistem sidik jari TouchID di Apple iPhone telah dikenal tentang selama beberapa tahun. Ini sebagian besar berputar di sekitar kegagalan untuk mendeteksi sidik jari palsu yang terbuat dari Gummi Bears dan bahan yang sama.
0 Komentar untuk "Punya Samsung Galaxy S5? Penjahat dapat mencuri sidik jari Anda "