+ Répondre à la discussion Actualité déjà publiée
  1. #1
    Chroniqueur Actualités
    Avatar de Patrick Ruiz
    Homme Profil pro
    Rédacteur technique
    Inscrit en
    février 2017
    Messages
    334
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Localisation : Cameroun

    Informations professionnelles :
    Activité : Rédacteur technique
    Secteur : Communication - Médias

    Informations forums :
    Inscription : février 2017
    Messages : 334
    Points : 10 822
    Points
    10 822

    Par défaut Android : les utilisateurs exposés à une panoplie d’attaques par le biais de deux permissions de l’OS

    Android : les utilisateurs exposés à une panoplie d’attaques par le biais de deux permissions de l’OS
    Des démos sont disponibles

    Des chercheurs de l’université de Californie (UC) et du Georgia Institute of Technology (GIT) viennent de faire une publication relative à des problèmes de sécurité que pose le système d’exploitation Android. Ils préviennent que deux permissions du système d’exploitation peuvent permettre à des attaquants de se livrer de façon extrêmement furtive à une panoplie d’actes délictueux sur leurs appareils.

    Les permissions en question sont SYSTEM_ALERT_WINDOW et BIND_ACCESSIBILITY SERVICE. Pour rappel, la permission SYSTEM_ALERT_WINDOW permet à une application d’afficher une fenêtre pop-up par-dessus toutes les autres fenêtres. BIND_ACCESSIBILITY_SERVICE par contre est une permission qui permet à une application de rendre les dispositifs Android plus accessibles par des personnes avec des handicaps. Des personnes mal voyantes peuvent passer des commandes vocales au système grâce à l’activation de cette permission.

    Les explications des chercheurs viennent nous rappeler l’importance de faire preuve de vigilance lors de l’installation d’une application. Généralement, le processus d’installation intègre une étape où certaines permissions sont accordées à l’application en cours d’installation. D’après les explications des chercheurs, l’utilisateur ne reçoit pas de notification quant à l’accord ou non des permissions SYSTEM_ALERT_WINDOW et BIND_ACCESSIBILITY_SERVICE lors d’une installation via le Play Store.

    Ceci se produit pour une application dont le fichier manifest contient la déclaration des permissions SYSTEM_ALERT_WINDOW et BIND_ACCESSIBILITY_SERVICE. Les chercheurs soulignent que l’utilisation combinée de ces deux permissions peut permettre de mettre sur pied des attaques extrêmement furtives en comparaison à celles qui ont été recensées jusqu’ici et qui n’utilisaient que l’une de ces permissions à la fois. Leur publication de recherche passe en revue une dizaine d’attaques testées pratiquement sur une vingtaine d’utilisateurs Android.

    Pratiquement tout y passe : l’enregistrement furtif de saisies clavier qui exploite la permission SYSTEM_ALERT_WINDOW (première démo ci-dessous), l’usage combiné des deux permissions pour installer une application bénéficiant de toutes les permissions (deuxième démo), le vol de mot de passe qui combine également les deux permissions (troisième démo), etc. Les chercheurs indiquent que Google a déjà reçu notification de ces constats. Comme ils le précisent, il s’agit de problèmes liés à la conception du système d’exploitation lui-même.

    Ceci suppose que l’équipe de développement d’Android doit repenser la philosophie de l’interface utilisateur du système d’exploitation pour y remédier. Faisant suite à la notification, un porte-parole de Google a annoncé que le Play Store intègre déjà les protections nécessaires pour détecter et empêcher l’installation des applications qui déclarent ces permissions dans leur fichier manifest. Il a également été fait mention d’Android O qui sera livré avec toutes les corrections nécessaires de l’interface utilisateur d’ici à son lancement prévu pour l’été prochain.

    be




    Sources : Publication, Cloak-and-Dagger

    Et vous ?

    Qu’en pensez-vous ?

    Voir aussi :

    Une faille permet de déverrouiller l'écran des téléphones Android 5.x en saisissant un très long mot de passe, un correctif a été publié
    Trend Micro publie une faille permettant d'exécuter du code arbitraire sur Android, un correctif est déjà disponible
    Trend Micro découvre une faille permettant de rendre votre téléphone Android non fonctionnel, aucun correctif n'est encore disponible
    Contribuez au club : Corrections, suggestions, critiques, ... : Contactez le service news et Rédigez des actualités

  2. #2
    Membre expérimenté Avatar de nchal
    Homme Profil pro
    Étudiant
    Inscrit en
    avril 2012
    Messages
    494
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Âge : 24
    Localisation : France, Haute Savoie (Rhône Alpes)

    Informations professionnelles :
    Activité : Étudiant
    Secteur : High Tech - Éditeur de logiciels

    Informations forums :
    Inscription : avril 2012
    Messages : 494
    Points : 1 558
    Points
    1 558

    Par défaut

    Pour la deuxième et troisième vidéo, je ne dis pas mais pour la première, il suffit que l'utilisateur ait un clavier différent en taille/apparence que celui par défaut pour que l'overlay foire non ?
    Si la réponse vous convient, un petit ça encourage.
    Avant tout nouveau post, pensez à : la FAQ, Google et la fonction Recherche
    Si vous devez poster, pensez à: Ecrire en français, la balise [CODE] (#) et surtout

  3. #3
    Membre émérite
    Profil pro
    Développeur
    Inscrit en
    mars 2012
    Messages
    1 437
    Détails du profil
    Informations personnelles :
    Localisation : Belgique

    Informations professionnelles :
    Activité : Développeur
    Secteur : Communication - Médias

    Informations forums :
    Inscription : mars 2012
    Messages : 1 437
    Points : 2 367
    Points
    2 367

    Par défaut

    Citation Envoyé par nchal Voir le message
    Pour la deuxième et troisième vidéo, je ne dis pas mais pour la première, il suffit que l'utilisateur ait un clavier différent en taille/apparence que celui par défaut pour que l'overlay foire non ?
    Je pense aussi que ça peut foirer mais leur "tool overlay" a probablement un minimum d'intelligence en détectant le layout d'input, sa position, ses dimensions et en le dimensionnant en conséquence.
    Si la réponse vous a aidé, pensez à cliquer sur +1

Discussions similaires

  1. Comment faire déconnecter les utilisateurs d'une base
    Par ENIT-Info dans le forum Access
    Réponses: 23
    Dernier message: 28/02/2017, 15h57
  2. Réponses: 0
    Dernier message: 24/09/2014, 17h05
  3. Réponses: 3
    Dernier message: 19/08/2014, 12h52
  4. Réponses: 15
    Dernier message: 20/06/2013, 16h14
  5. aditionner les champs d'une table ligne par ligne
    Par bertrand_declerck dans le forum Bases de données
    Réponses: 3
    Dernier message: 09/08/2005, 09h38

Partager

Partager
  • Envoyer la discussion sur Viadeo
  • Envoyer la discussion sur Twitter
  • Envoyer la discussion sur Google
  • Envoyer la discussion sur Facebook
  • Envoyer la discussion sur Digg
  • Envoyer la discussion sur Delicious
  • Envoyer la discussion sur MySpace
  • Envoyer la discussion sur Yahoo