Πολλά τρωτά σημεία εντοπίστηκαν σε δημοφιλείς εφαρμογές πληκτρολογίου για smartphones

[Nagata]

Μυστικά χωρίς να προδοθεί μέχρι σήμρα, η ομάδα του Citizen Lab έκανε μια μικρή έρευνα και ανακάλυψε πως υπάρχει μια ευπάθεια σε ευρέως χρησιμοποιούμενες εφαρμογές πληκτρολογίου που εκτιμά ότι επηρέασε έναν ανησυχητικό αριθμό χρηστών.

Το ελάττωμα εντοπίστηκε σε εφαρμογές πληκτρολογίου που χρησιμοποιούνται για την εισαγωγή κινεζικών χαρακτήρων χρησιμοποιώντας το σύστημα γραφής pinyin. Οι ερευνητές ανέλυσαν εφαρμογές από 9 προμηθευτές – Baidu, Honor, Huawei, iFlytek, OPPO, Samsung, Tencent, Vivo και Xiaomi. Οι συσκευές που εξετάστηκαν πωλήθηκαν στην Κίνα και ειδικότερα διαπιστώθηκε πως το πληκτρολόγιο Samsung δεν εκτελούσε κανενός είδους κρυπτογράφηση και τα περισσότερα από τα υπόλοιπα προγράμματα, δεν χρησιμοποιούσαν ασύμμετρη κρυπτογραφία.

Δεδομένου ότι η δημιουργία πληκτρολογίων που επιτρέπουν στους χρήστες να πληκτρολογούν κινεζικούς χαρακτήρες γρήγορα και εύκολα είναι κάτι σαν πρόκληση, πολλές από αυτές τις εφαρμογές, συμπεριλαμβανομένων αυτών που ανέλυσαν οι ερευνητές, προσφέρουν πρόβλεψη βάσει cloud. Η συμπερίληψη αυτής της δυνατότητας σημαίνει ότι κάθε λέξη που πληκτρολογείται αποστέλλεται σε διακομιστές αλλού.

Το παράδοξο σε αυτή την υπόθεση είναι ότι απ’ όλες τις εφαρμογές πληκτρολογίου pinyin που ανέλυσε το Citizen Lab, μόνο εκείνη της Huawei βρέθηκε να έχουν ευπάθειες που θα μπορούσαν να χρησιμοποιηθούν για να αποκαλυφθεί τι πληκτρολογούσε ένας χρήστης. Το ελάττωμα μετατρέπει ουσιαστικά τα πληκτρολόγια που βασίζονται σε cloud σε keylogger.

Σφάλματα όπως αυτά που σας επιτρέπουν να διαβάσετε τι πληκτρολογεί κάποιος στη συσκευή του μπορεί να ενδιαφέρουν διάφορους παράγοντες, συμπεριλαμβανομένων των κυβερνητικών υπηρεσιών πληροφοριών. Οι ερευνητές φοβούνται ότι μπορεί να μην ήταν οι πρώτοι που ανακάλυψαν τα τρωτά σημεία και ότι μπορεί να έχουν γίνει αντικείμενο εκμετάλλευσης για σκοπούς επιτήρησης.

Χειρότερν όλων είναι πως οι ερευνητές πιστεύουν ότι ίσως ο αριθμός επηρεαζόμενων χρηστών να φθάνει το 1 δισεκατομμύριο από αυτή και μια άλλη παρόμοια ευπάθεια. Τα τρωτά σημεία αναφέρθηκαν σε όλους τους προμηθευτές και οι περισσότεροι από αυτούς τα έχουν επιδιορθώσει.

Η αναφορά σημειώνει ότι ούτε οι εφαρμογές πληκτρολογίου της Apple ούτε της Google μεταδίδουν πληκτρολογήσεις σε διακομιστές cloud.

Αν δεν θέλετε κανείς να μαθαίνει τι πληκτρολογείτε στο τηλέφωνό σας, συνιστάται να παραμένετε στα πληκτρολόγια της συσκευής και να διατηρείτε ενημερωμένα τις εφαρμογές και τα λειτουργικά σας συστήματα.

back to the Article