[Actualización: Samsung despliegue de una Fix] PSA: Un error de teclado Seguridad Impactando "600 millones +" Teléfonos Samsung es probablemente nada de qué preocuparse
Esta mañana, una compañía llamada NowSecure publicó un exploit que afirma afectará SwiftKey en dispositivos Samsung que afirman podría afectar "600 millones +" dispositivos. Bien quizás.
Si bien no podemos verificar la verdadera gravedad de la falla de seguridad eran un atacante para gestionar con éxito para explotarla, pudimos comprobar algo mucho más importante para poner fin a la seguridad del usuario - que no afecta a la aplicación SwiftKey, sólo el built-in Samsung IME que se desarrolla en parte por SwiftKey. Llegamos a SwiftKey esta mañana y nos confirmaron que las versiones de envío SwiftKey en la Google Play Store (y la App Store de Apple, si te importa) no son vulnerables a la presunta falla.
La aplicación en cuestión no es SwiftKey sí mismo, sino más bien el teclado Samsung IME que se desarrolla SwiftKey para Samsung.
Hemos visto los informes de un problema de seguridad relacionado con el teclado Samsung. Podemos confirmar que las aplicaciones SwiftKey Keyboard disponibles a través de Google Play o la App Store de Apple no se ven afectados por esta vulnerabilidad. Tomamos informes de esta manera muy serio y actualmente estamos investigando más.
Si usted tiene un dispositivo con SwiftKey y están preocupados por la seguridad de la aplicación, actualizarla, no es que haya alguna razón usted debe ser vulnerables en este punto para empezar. En cuanto a la aplicación stock Teclado Samsung, en realidad ni siquiera está claro si los nuevos dispositivos pueden ser totalmente afectadas por la explotación, tal como se demostró en el firmware sustancialmente mayor. Aunque no existe una forma sencilla de actualizar el teclado Samsung IME (se puede eliminar la aplicación por completo si estás enraizado, sin embargo), esto no es un defecto fácil de explotar.
Un ataque también sería más involucrados - en esencia, una persona maliciosa tendría que ya han profundamente comprometido la seguridad de la red a la que está en uso y el secuestro de DNS o una parecida man-in-the-middle exploit para redirigir el teléfono a un falsa actualización de paquete de idioma que podrían entonces potencialmente inyectar su dispositivo con código malicioso. E incluso en estas condiciones, sólo cuando la aplicación inicia una nueva descarga del paquete de idioma o lenguaje actualización de paquete se puede tomar la falla aprovechar. Esto haría muy difícil de explotar de forma fiable, y mucho menos en cualquier tipo de escala.
Tl-dr? Probablemente no hay nada mucho aquí que preocuparse a menos que regularmente frecuentes redes inalámbricas no seguras.
SwiftKey tiene una entrada en el blog esta mañana, que incluye esta declaración de Samsung:
Samsung lleva emergente muy en serio las amenazas de seguridad. Somos conscientes de la edición reciente reportado por varios medios de comunicación y estamos comprometidos a proporcionar lo último en seguridad móvil.
Samsung KNOX tiene la capacidad de actualizar la política de seguridad de los teléfonos, over-the-air, para invalidar las vulnerabilidades potenciales causados por este problema. Las actualizaciones de las políticas de seguridad empezarán a rodar en unos pocos días.
Además de la actualización de la política de seguridad, también estamos trabajando con SwiftKey para abordar los riesgos potenciales de cara al futuro.
- Fuente:
- NowSecure,
- SwiftKey