Miljoonat Samsungin puhelimet vaarassa – näppäimistö avaa reitin tunkeutujille

Useat Samsungin valmistamat älypuhelimet saattavat olla haavoittuvaisia hyökkäyksiä vastaan, koska niihin esiasennettu näppäimistösovellus on heikosti suojattu. Ongelma koskee sellaisia Samsungin älypuhelimia, joissa on valmiiksi esiasennettuna ollut SwiftKey-näppäimistö. Ongelma koskee Samsungin omaa näppäimistöä, joka pohjautuu SwiftKeyn teknologiaan.

SwiftKey-näppäimistö ei ole ollut esiasennettuna kaikilla markkina-alueilla myytävissä Samsungin puhelimissa, mutta joidenkin arvioiden mukaan haavoittuvuuden sisältäviä puhelimia saattaa silti olla yhteensä jopa 600 miljoonaa kappaletta. Haavoittuvuus johtuu juuri SwiftKey-näppäimistöstä SwiftKeyn toimittamasta näppäimistöalustasta, joka automaattisesti tarkistaa säännöllisin väliajoin, onko sen kielipaketteihin tarjolla päivityksiä. Tarkistuksia tehdessään sovellus ei kuitenkaan käytä salattua yhteyttä, vaan liikenne tapahtuu selkokielisesti. Mahdollinen hyökkääjä voi tämän yhteydenpidon kautta päästä käsiksi sovellukseen ja sitä kautta puhelimen sisältämiin yksityisiin tietoihin.

Erityisen ongelmalliseksi näppäimistön haavoittuvuuden tekee se, ettei esiasennettua sovellusta ole mahdollista poistaa, eli haavoittuvuus on mahdollisen hyökkääjän hyödynnettävissä siinäkin tapauksessa, ettei näppäimistöä edes käytetä. Haavoittuvuus löydettiin jo viime vuonna, ja Samsung toimitti tämän vuoden maaliskuussa sen puhelimia myyville operaattoreille korjauspäivityksen Android 4.2:a ja uudempia Android-versioita käyttäville puhelimille, mutta haavoittuvuuden havainnut tietoturvayhtiö NowSecure uskoo, että ongelma on edelleen olemassa. Yhtiö totesi amerikkalaisen Verizon-operaattorin myymän uuden Galaxy S6 -puhelimen sisältävän edelleen saman haavoittuvuuden.

NowSecuren esiin tuoma ongelma on hyvä esimerkki siitä, kuinka itse käyttöjärjestelmien lisäksi myös sovellukset voivat olla varsin alttiita hyökkäyksille. NowSecuren toimitusjohtaja Andrew Hoog mainitseekin uutistoimisto Forbesille, että tietoturvayhtiöt ovat saattaneet keskittyä liiaksi ”väärään ongelmaan”, lähinnä haittaohjelmistoihin, ja että todellinen ongelma ovat ”vuotavat sovellukset”.

Päivitetty 17.6. klo 11.28: Ongelma ei koske erillistä SwiftKey-näppäimistöä, vaan Samsungin omaa näppäimistöä, joka pohjautuu SwiftKeyn toimittamaan teknologiaan. Ongelmaa ei myöskään ole SwiftKeyn tarjoamassa näppäimistösovelluksessa, joka on ladattavissa esimerkiksi Google Play -sovelluskaupassa.

Mainos: Noin 1 600 000 tuotteen hintavertailu ja hintaseuranta - katso Hinta.fistä mistä saat halvimmalla