खतरनाक सिम-स्वैप लॉकस्क्रीन बायपास - अभी Android अपडेट करें!

डेविड शुट्ज़ नामक एक बग बाउंटी शिकारी ने अभी-अभी प्रकाशित किया है विस्तृत विवरण यह वर्णन करते हुए कि किस प्रकार उन्होंने खतरनाक Android सुरक्षा छेद के बारे में कई महीनों तक Google के साथ तलवारें चलायीं।

Schütz के अनुसार, वह जून 2022 में पूरी तरह से दुर्घटना से कुल Android लॉकस्क्रीन बाईपास बग पर ठोकर खाई, वास्तविक जीवन की परिस्थितियों में जो आसानी से किसी के साथ भी हो सकता था।

दूसरे शब्दों में, यह मान लेना उचित था कि अन्य लोग जानबूझकर बग की तलाश किए बिना दोष के बारे में पता लगा सकते हैं, इसकी खोज और सार्वजनिक प्रकटीकरण (या निजी दुरुपयोग) को शून्य-दिन के छेद के रूप में सामान्य से कहीं अधिक होने की संभावना है।

दुर्भाग्य से, इसे नवंबर 2022 तक पैच नहीं किया गया था, यही वजह है कि उन्होंने अभी इसका खुलासा किया है।

एक गंभीर बैटरी आउटेज

सीधे शब्दों में कहें, तो उसे बग मिल गया क्योंकि वह लंबी यात्रा पर जाने से पहले अपने फोन को बंद करना या चार्ज करना भूल गया था, जिससे सड़क पर होने पर डिवाइस को रस पर कम चलाने के लिए छोड़ दिया गया था।

शुट्ज़ के अनुसार, वह घर पहुंचने के बाद कुछ संदेश भेजने के लिए दौड़ रहा था (हम अनुमान लगा रहे हैं कि वह एक विमान में था) बैटरी में अभी भी थोड़ी मात्रा में बिजली बची है ...

…जब फोन मर गया।

हम सब वहाँ रहे हैं, फोन को फिर से चालू करने के लिए चार्जर या बैकअप बैटरी पैक के लिए हाथ-पांव मार रहे हैं ताकि लोगों को पता चल सके कि हम सुरक्षित पहुंच गए हैं, सामान वापस पाने की प्रतीक्षा कर रहे हैं, ट्रेन स्टेशन पहुंच गए हैं, 45 मिनट में घर पहुंचने की उम्मीद है, अगर किसी को तत्काल किसी चीज की जरूरत है, या हमें जो कुछ भी कहना है, वह दुकानों पर रुक सकता है।

और जब हम जल्दी में होते हैं तो हम सभी पासवर्ड और पिन के साथ संघर्ष करते हैं, खासकर यदि वे ऐसे कोड हैं जिनका हम शायद ही कभी उपयोग करते हैं और टाइप करने के लिए कभी भी "मांसपेशी मेमोरी" विकसित नहीं की है।

शुत्ज़ के मामले में, यह उनके सिम कार्ड पर विनम्र पिन था जिसने उन्हें स्टंप किया, और क्योंकि सिम पिन चार अंकों के रूप में छोटा हो सकता है, वे एक हार्डवेयर लॉकआउट द्वारा सुरक्षित हैं जो आपको अधिकतम तीन अनुमानों तक सीमित करता है। (हम वहां गए हैं, ऐसा किया है, खुद को बंद कर लिया है।)

उसके बाद, आपको एक 10-अंकीय "मास्टर पिन" दर्ज करना होगा जिसे PUK के रूप में जाना जाता है, जिसका संक्षिप्त रूप व्यक्तिगत अनब्लॉकिंग कुंजी, जो आमतौर पर उस पैकेजिंग के अंदर छपा होता है जिसमें सिम बेचा जाता है, जो इसे काफी हद तक टैम्पर-प्रूफ बनाता है।

और पीयूके अनुमान लगाने वाले हमलों से बचाने के लिए, सिम स्वचालित रूप से 10 गलत प्रयासों के बाद खुद को फ्राई करता है, और इसे बदलने की आवश्यकता होती है, जिसका आम तौर पर पहचान के साथ मोबाइल फोन की दुकान तक पहुंचना होता है।

मैंने उस पैकेजिंग का क्या किया?

सौभाग्य से, क्योंकि उसे इसके बिना बग नहीं मिला होता, Schütz ने मूल सिम पैकेजिंग को एक अलमारी में कहीं रखा, उस सुरक्षात्मक पट्टी को खरोंच कर दिया जो PUK को अस्पष्ट करती है, और इसे टाइप करती है।

इस बिंदु पर, यह देखते हुए कि वह बिजली से बाहर होने के बाद फोन को शुरू करने की प्रक्रिया में था, उसे फोन की लॉकस्क्रीन को फोन के अनलॉक कोड में टाइप करने की मांग करते हुए देखना चाहिए था ...

…लेकिन, इसके बजाय, उसने महसूस किया कि वह था लॉकस्क्रीन के गलत प्रकार पर, क्योंकि यह उसे केवल अपने फिंगरप्रिंट का उपयोग करके डिवाइस को अनलॉक करने का मौका दे रहा था।

ऐसा तभी होना चाहिए जब आपका फोन नियमित उपयोग के दौरान लॉक हो जाए, और पावर-ऑफ-एंड-रिबूट के बाद ऐसा नहीं होना चाहिए, जब एक पूर्ण पासकोड पुन: प्रमाणीकरण (या उनमें से एक स्वाइप-टू-अनलॉक "पैटर्न कोड" ) लागू किया जाना चाहिए।

क्या वाकई आपके लॉकस्क्रीन में "लॉक" है?

जैसा कि आप शायद से जानते हैं बहुत बार हम है के बारे में लिखा लॉकस्क्रीन कीड़े पिछले कुछ वर्षों में नग्न सुरक्षा पर, लॉकस्क्रीन में "लॉक" शब्द के साथ समस्या यह है कि यह केवल यह दर्शाने के लिए एक अच्छा रूपक नहीं है कि कोड कितना जटिल है जो आधुनिक फोन को "लॉकिंग" और "अनलॉकिंग" की प्रक्रिया का प्रबंधन करता है।

एक आधुनिक मोबाइल लॉकस्क्रीन एक घर के सामने के दरवाजे की तरह है जिसमें एक अच्छी गुणवत्ता वाला डेडबोल लॉक लगाया गया है…

लेकिन इसमें एक लेटरबॉक्स (मेल स्लॉट), प्रकाश में जाने के लिए ग्लास पैनल, एक बिल्ली फ्लैप, एक लॉडेबल स्प्रिंग लॉक है जिस पर आपने भरोसा करना सीखा है क्योंकि डेडबोल थोड़ा परेशानी वाला है, और एक बाहरी वायरलेस डोरबेल/ सुरक्षा कैमरा जो चोरी करना आसान है, भले ही इसमें आपका वाई-फाई पासवर्ड प्लेन टेक्स्ट में हो और पिछले 60 मिनट के वीडियो फुटेज को रिकॉर्ड किया गया हो।

ओह, और, कुछ मामलों में, यहां तक ​​​​कि एक सुरक्षित दिखने वाले सामने वाले दरवाजे में वैसे भी डोरमैट के नीचे "छिपी हुई" चाबियां होंगी, जो कि काफी हद तक शूट्ज़ ने अपने एंड्रॉइड फोन पर पाया था।

घुमावदार मार्गों का नक्शा

आधुनिक फ़ोन लॉकस्क्रीन आपके फ़ोन को लॉक करने के बारे में इतना नहीं है जितना कि आपके ऐप्स को संचालन के सीमित तरीकों तक सीमित करना है।

यह आम तौर पर आपको और आपके ऐप्स को लॉकस्क्रीन एक्सेस के साथ "विशेष केस" सुविधाओं की भरपूर मात्रा में छोड़ देता है, जैसे कैमरे को अनलॉक किए बिना सक्रिय करना, या अधिसूचना संदेश या ईमेल विषय पंक्तियों का एक क्यूरेटेड सेट पॉप अप करना जहां कोई भी उन्हें बिना देख सकता है पासकोड।

संचालन के एक पूरी तरह से अपवादनीय अनुक्रम में शूट्ज़ ने जो देखा था, वह लॉकस्क्रीन के रूप में शब्दजाल में जाना जाने वाला एक दोष था। राज्य मशीन.

एक राज्य मशीन एक प्रकार का ग्राफ, या नक्शा है, जो एक कार्यक्रम में हो सकता है, कानूनी तरीकों के साथ-साथ कार्यक्रम एक राज्य से दूसरे राज्य में जा सकता है, जैसे नेटवर्क कनेक्शन "सुनने" से " कनेक्टेड", और फिर "कनेक्टेड" से "सत्यापित", या "लॉक्ड" से "फिंगरप्रिंट के साथ अनलॉक करने योग्य" या "अनलॉक करने योग्य लेकिन केवल पासकोड के साथ" पर स्विच करने वाली फोन स्क्रीन।

जैसा कि आप कल्पना कर सकते हैं, जटिल कार्यों के लिए राज्य की मशीनें जल्दी ही जटिल हो जाती हैं, और एक राज्य से दूसरे राज्य में विभिन्न कानूनी रास्तों का नक्शा मोड़ और मोड़ से भरा हो सकता है ...

... और, कभी-कभी, विदेशी गुप्त मार्ग जिन्हें किसी ने परीक्षण के दौरान नहीं देखा।

वास्तव में, शुत्ज़ अपनी अनजानी PUK खोज को एक सामान्य लॉकस्क्रीन बायपास में बदलने में सक्षम था, जिसके द्वारा लॉक किए गए Android डिवाइस को उठाने वाला (या चोरी करने वाला, या अन्यथा संक्षिप्त पहुंच रखने वाला) कोई भी व्यक्ति इसे अनलॉक किए गए राज्य में ले जा सकता था, जिसके पास एक से अधिक कुछ नहीं था। अपना खुद का नया सिम कार्ड और एक पेपर क्लिप।

यदि आप सोच रहे हैं, तो पेपर क्लिप फोन में पहले से मौजूद सिम को बाहर निकालने के लिए है ताकि आप नया सिम डाल सकें और फोन को "मुझे सुरक्षा कारणों से इस नए सिम के लिए पिन का अनुरोध करने की आवश्यकता है" स्थिति में डाल दें। शूत्ज ने स्वीकार किया कि जब वह हैक को प्रदर्शित करने के लिए Google के कार्यालयों में गया, तो किसी के पास उचित सिम इजेक्टर नहीं था, इसलिए उन्होंने पहले एक सुई की कोशिश की, जिसके साथ उधार की बाली के साथ सफल होने से पहले शुट्ज़ ने खुद को छुरा घोंपने में कामयाबी हासिल की। हमें संदेह है कि पहले बिंदु में सुई डालने से काम नहीं चला (इजेक्टर पिन को एक छोटे से बिंदु से मारना कठिन है) इसलिए उसने "वास्तव में सावधान" रहते हुए इसे बाहर की ओर इंगित करने का जोखिम उठाने का फैसला किया, इस प्रकार हैकिंग के प्रयास को एक शाब्दिक रूप में बदल दिया हैक। (हम वहाँ रहे हैं, वह किया है, अपने आप को उँगलियों में दबा लिया।)

नए सिम के साथ सिस्टम को गेमिंग करना

यह देखते हुए कि हमलावर नए सिम के पिन और पीयूके दोनों को जानता है, वे जानबूझकर तीन बार गलत पिन प्राप्त कर सकते हैं और फिर तुरंत पीयूके को सही कर सकते हैं, इस प्रकार जानबूझकर लॉकस्क्रीन स्टेट मशीन को असुरक्षित स्थिति में मजबूर कर सकते हैं जिसे शुट्ज़ ने गलती से खोजा था।

सही समय के साथ, शुट्ज़ ने पाया कि वह न केवल फ़िंगरप्रिंट अनलॉक पृष्ठ पर उतर सकता है, जब यह प्रकट नहीं होना चाहिए था, बल्कि फ़िंगरप्रिंट स्क्रीन को खारिज करने के लिए सिग्नल के रूप में सफल PUK अनलॉक को स्वीकार करने के लिए फ़ोन को भी धोखा देता है। और संपूर्ण अनलॉक प्रक्रिया को "सत्यापित" करें मानो उसने फोन का पूरा लॉक कोड टाइप कर दिया हो।

बाईपास अनलॉक!

दुर्भाग्य से, Schütz के अधिकांश लेख में Google द्वारा इस भेद्यता पर प्रतिक्रिया करने और इसे ठीक करने में लगने वाले समय का वर्णन किया गया है, भले ही कंपनी के अपने इंजीनियरों ने यह निर्णय लिया हो कि बग वास्तव में दोहराने योग्य और शोषक था।

जैसा कि शुट्ज़ ने खुद कहा था:

यह सबसे प्रभावशाली भेद्यता थी जिसे मैंने अभी तक पाया है, और यह मेरे लिए एक सीमा पार कर गया जहां मैं वास्तव में फिक्स टाइमलाइन के बारे में चिंता करना शुरू कर दिया और यहां तक ​​​​कि इसे खुद को "गुप्त" रखने के बारे में भी। हो सकता है कि मैं ओवररिएक्ट कर रहा हूं, लेकिन मेरा मतलब है कि इतनी देर पहले एफबीआई लगभग एक ही चीज के लिए एप्पल से नहीं लड़ रहा था।

प्रकटीकरण में देरी

बग प्रकटीकरण के प्रति Google के रवैये को देखते हुए, अपनी स्वयं की प्रोजेक्ट ज़ीरो टीम के साथ सख्त प्रकटीकरण समय निर्धारित करने की आवश्यकता के बारे में कुख्यात रूप से दृढ़ है और उनसे चिपके रहो, आपने शायद कंपनी से अपने 90-दिन-प्लस-14-अतिरिक्त-इन-स्पेशल-केस नियमों से चिपके रहने की अपेक्षा की होगी।

लेकिन, Schütz के अनुसार, Google इस मामले में इसे प्रबंधित नहीं कर सका।

जाहिर है, वह अक्टूबर 2022 में एक तारीख पर सहमत हुए थे, जिसके द्वारा उन्होंने सार्वजनिक रूप से बग का खुलासा करने की योजना बनाई थी, जैसा कि उन्होंने अब किया है, जो जून 2022 में वापस खोजे गए बग के लिए बहुत समय की तरह लगता है।

लेकिन Google उस अक्टूबर की समय सीमा से चूक गया।

दोष के लिए पैच, निर्दिष्ट बग संख्या CVE-2022-20465, अंततः Google के साथ Android के नवंबर 2022 सुरक्षा पैच, दिनांक 2022-11-05 में दिखाई दिया फिक्स का वर्णन के रूप में: "सिम पीयूके अनलॉक के बाद कीगार्ड को खारिज न करें।"

तकनीकी शब्दों में, बग वह था जिसे जाना जाता था a दौड़ की स्थिति, जहां ऑपरेटिंग सिस्टम का वह हिस्सा जो "अब सिम अनलॉक करना सुरक्षित है?" का ट्रैक रखने के लिए PUK प्रवेश प्रक्रिया को देख रहा था? राज्य ने एक सफलता संकेत का उत्पादन समाप्त कर दिया जिसने उस कोड को ट्रम्प कर दिया जो एक साथ ट्रैक कर रहा था "क्या पूरे डिवाइस को अनलॉक करना सुरक्षित है?"

फिर भी, Google के बग बाउंटी भुगतान के लिए Schütz अब काफी समृद्ध है (उनकी रिपोर्ट से पता चलता है कि वह $ 100,000 की उम्मीद कर रहे थे, लेकिन अंत में उन्हें $ 70,000 के लिए समझौता करना पड़ा)।

और उन्होंने 15 अक्टूबर 2022 की समय सीमा के बाद बग का खुलासा करने पर रोक लगा दी, यह स्वीकार करते हुए कि विवेक कभी-कभी वीरता का बेहतर हिस्सा होता है, यह कहते हुए:

मैं [था] वास्तव में लाइव बग को बाहर करने से बहुत डरता था और चूंकि फिक्स एक महीने से भी कम समय में था, यह वास्तव में इसके लायक नहीं था। मैंने फिक्स की प्रतीक्षा करने का फैसला किया।

क्या करना है?

जांचें कि आपका Android अप टू डेट है: सेटिंग > सुरक्षा > सुरक्षा अद्यतन > अपडेट के लिये जांचें.

ध्यान दें कि जब हमने दौरा किया था सुरक्षा अद्यतन स्क्रीन, कुछ समय के लिए हमारे पिक्सेल फोन का उपयोग नहीं करने के बाद, एंड्रॉइड ने साहसपूर्वक घोषणा की आपका सिस्टम आधुनिक है, यह दर्शाता है कि उसने एक मिनट या उससे भी पहले स्वचालित रूप से जांच की थी, लेकिन फिर भी हमें बता रहा था कि हम पर थे October 5, 2022 सुरक्षा अद्यतन।

हमने मैन्युअल रूप से एक नया अपडेट चेक करने के लिए मजबूर किया और तुरंत बताया गया सिस्टम अपडेट तैयार किया जा रहा है…, उसके बाद एक छोटा डाउनलोड, एक लंबा प्रारंभिक चरण, और फिर एक रिबूट अनुरोध।

रिबूट करने के बाद हम पहुंच गए थे November 5, 2022 पैच स्तर।

हम फिर वापस गए और एक और किया अपडेट के लिये जांचें यह पुष्टि करने के लिए कि अभी भी कोई सुधार बकाया नहीं था।

---

हम प्रयोग किया जाता सेटिंग > सुरक्षा > सुरक्षा अद्यतन फ़ोर्स-ए-डाउनलोड पेज पर जाने के लिए:

---

रिपोर्ट की गई तिथि गलत लग रही थी इसलिए हमने Android को इसके लिए बाध्य किया अपडेट के लिये जांचें वैसे भी:

---

वास्तव में स्थापित करने के लिए एक अद्यतन था:

---

प्रतीक्षा करने के बजाय हमने इस्तेमाल किया फिर से शुरू एक बार में आगे बढ़ने के लिए:

---

एक लंबी अद्यतन प्रक्रिया का पालन किया गया:

---

हमने एक और किया अपडेट के लिये जांचें यह पुष्टि करने के लिए कि हम वहां थे:

---