Aplicació Airdroid vulnerable als atacs de "home-in-the-middle" [actualització: arreglada i millorada]

Actualització, 9 de desembre: Betty Chen, OCM d'AirDroid ha contactat amb Android Central amb les novetats sobre el treball de l'equip per solucionar la vulnerabilitat. Vegeu la resposta a continuació:

Acabem de completar la posada en funcionament d’AirDroid (Mobile 4.0.0.3; Mac / Win 3.3.5.3) a Google Play Store, ja està disponible per a tots els usuaris. En aquesta actualització, hem millorat el nostre mecanisme de xifrat segons el previst i hem solucionat el problema sobre la recent preocupació per la seguretat d’Airroid.

El problema s'ha solucionat a l'actualització.

Juntament amb altres millores de seguretat, hem actualitzat els canals de comunicació a https i hem millorat el mètode de xifrat.

A causa de la naturalesa multiplataforma d'AirDroid, ens va trigar algun cop a dissenyar una solució personalitzada i millorar la nostra seguretat en tots els aspectes. Vam introduir el sistema de codificació de reestructuració a AirDroid4.0 i AirDroid 4.0.0.1 per assegurar-nos que la compatibilitat funciona bé a les plataformes a finals de novembre. Després d’una acurada valoració, vam començar a publicar aquesta actualització parcialment a principis d’aquest mes entre clients per assegurar-nos que es manté un bon funcionament de la comunicació. Ara finalment podem llançar aquesta actualització completament per solucionar el problema plantejat i per assegurar-nos que els nostres usuaris estiguin millor protegits.

La investigació de la firma de seguretat Zimperium ha demostrat que la popular aplicació de gestió remota AirDroid és vulnerable als atacs anomenats "man-the-middle", deixant els telèfons dels usuaris oberts al robatori de dades o, en el pitjor, al compromís del dispositiu mitjançant un segrest. fitxer d’actualització.

Segons Zimperium, un atacant de la mateixa xarxa que la víctima prevista podria interceptar dades d’autenticació i suplantar l’usuari, permetent que s’exposessin dades personals (com ara SMS, trucades, notificacions o dades de contacte).

El més seriosament, el mecanisme pel qual s’actualitza l’aplicació també podria ser segrestat de la mateixa manera, exposant els usuaris d’AirDroid a que tot el dispositiu es vegi compromès per un fitxer APK maliciós. La signatura de seguretat té una prova completa del concepte al seu lloc, juntament amb detalls de com va divulgar les vulnerabilitats del desenvolupador Sand Studio, a partir del maig del 2016.

Zimperium diu que els recent llançats AirDroid 4.0.0 i 4.0.1 segueixen sent vulnerables a la mateixa vulnerabilitat. Ens hem adreçat a Sand Studio per fer comentaris i actualitzarem aquesta publicació amb qualsevol resposta. Mentrestant, si sou un usuari d'AirDroid conscient de la seguretat, potser voldreu pensar en desinstal·lar fins que no hi hagi una solució correcta.

Podeu descarregar la versió més recent d'AirDroid per al dispositiu Android aquí. La versió més recent de l'aplicació d'escriptori es pot descarregar des del lloc web d'AirDroid. Si sou un usuari freqüent d'AirDroid, sens dubte voldreu descarregar aquestes actualitzacions crítiques tan aviat com sigui possible.