News

ผู้ใช้แอนดรอยด์ 99% มีความเสี่ยงในการถูกขโมยข้อมูล

มีนักวิจัยในหลายๆ มหาวิทยาลัยออกมาเตือนผู้ใช้แอนดรอยด์ว่าพบช่องโหว่ใน authentication protocol หรือที่เรารู้จักในชื่อ ClientLogin Protocol ที่ทำให้แฮกเกอร์สามารถเข้าถึง Facebook, Twitter , Contacts ,บริการต่างๆ ของกูเกิล เช่น Google Calendar และเว็บไซต์ Picasa web albums

ในโปรโตคอลนี้หลังจากที่ผู้ใช้ login จะทำการเรียก authentication token ไปในรูปแบบของ clear text หรือข้อมูลที่ทำการส่งไปนั้นไม่ได้ทำการเข้ารหัสเลยเปิดโอกาสให้แฮกเกอร์ที่ได้รับ token นั้นปลอมตัวเป็นผู้ใช้ได้หากอุปกรณ์ที่เชื่อมต่ออินเตอร์เน็ตนั้นไม่ได้เข้ารหัสไว้ (unsecure network) อย่างเช่นพวก wifi hotspot ตามร้าน Starbucks

มีนักวิจัยในหลายๆ มหาวิทยาลัยออกมาเตือนผู้ใช้แอนดรอยด์ว่าพบช่องโหว่ใน authentication protocol หรือที่เรารู้จักในชื่อ ClientLogin Protocol ที่ทำให้แฮกเกอร์สามารถเข้าถึง Facebook, Twitter , Contacts ,บริการต่างๆ ของกูเกิล เช่น Google Calendar และเว็บไซต์ Picasa web albums

ในโปรโตคอลนี้หลังจากที่ผู้ใช้ login จะทำการเรียก authentication token ไปในรูปแบบของ clear text หรือข้อมูลที่ทำการส่งไปนั้นไม่ได้ทำการเข้ารหัสเลยเปิดโอกาสให้แฮกเกอร์ที่ได้รับ token นั้นปลอมตัวเป็นผู้ใช้ได้หากอุปกรณ์ที่เชื่อมต่ออินเตอร์เน็ตนั้นไม่ได้เข้ารหัสไว้ (unsecure network) อย่างเช่นพวก wifi hotspot ตามร้าน Starbucks

ผู้ใช้ที่เข้าข่ายใน 99% ที่มีความเสี่ยงในการถูกขโมยข้อมูลนั้นก็คือ ผู้ที่ใช้ Android 2.3.3 และต่ำกว่า แม้ว่ากูเกิลจะอัพเดต Android 2.3.4 แล้วก็ตามแต่ก็ยังพบช่องโหว่นี้ในการเข้าเว็บไซต์ Picasa web albums ในลักษณะเดิม ยังไงวิธีป้องกันที่ดีที่สุดคือควรหลีกเลี่ยงการเชื่อมต่อเครือข่ายอินเตอร์เน็ตที่ไม่ได้เข้ารหัสไว้แล้วกันนะครับ

ปล. น่าจะได้เห็น Android 2.3.5 เร็วๆ นี้

ที่มา: redmondpie , securelymobile.blogspot.com , neowin.net

23 Comments

  1. halfvlife

    halfvlife Post on May 18, 2011 at 11:46 am

    #155218

    นั้นนะสิ นั้นนะสิ คนเค้าดังทำยังไงได้ละ ใช่เปล่า

  2. takumi10

    takumi10 Post on May 18, 2011 at 1:53 pm

    #155230

    โอ้โห ตกใจเลยนิ ช่องโหว่เพียบ

  3. novasid

    novasid Post on May 18, 2011 at 3:27 pm

    #155258

    โอ้ว 2.3.4 ของผมก็ไม่รอดหรือนี่ ….

  4. Sugar sugar Post on May 18, 2011 at 3:42 pm

    #155272

    ที่ทำงานผมเค้าปล่อยไวไฟแบบไม่ต้องมีรหัสผ่าน ใช้กันทั้งสำนักงานเลยนิ A99 2.2.2 ก็คงไม่รอด ชิมิ ชิมิ*o*

  5. bostom0085

    bostom0085 Post on May 18, 2011 at 4:05 pm

    #155291

    ถ้าอย่างงั้นเค้าต้องไปแก้ระบบ Picasa web แล้วละ

  6. tanit9999

    tanit9999 Post on May 18, 2011 at 5:05 pm

    #155321

    เรื่องนี้ในไทยพูดตรงๆ ตกใจกันใหญ่ทั้งที่หลายๆคนยังตั้งพาสเป็น 12345
    = =!!

    • KuLiKo

      KuLiKo Post on May 19, 2011 at 9:23 pm

      #156551

      ดีนะผมตั้งเป็นเบอร์บ้าน เลยไม่เข้าข่าย 😀

  7. Wanderer

    Wanderer Post on May 18, 2011 at 5:41 pm

    #155338

    แล้ว Captivate เมื่อไหร่จะมี 2.3.4 มาให้ใช้นะ

  8. trustud2010 Post on May 18, 2011 at 5:45 pm

    #155342

    ผมไม่เคยใช้ข้อมูลส่วนตัวจริงกับแอปพวก social อยู่แล้ว กลัวเหมือนกัน

  9. sp19xx Post on May 18, 2011 at 5:59 pm

    #155355

    อยากรู้ว่า "โอกาสให้แฮกเกอร์ที่ได้รับ token นั้น" มีโอกาสเกิดขึ้นกี่ % ครับ

    • tonhor

      tonhor Post on May 18, 2011 at 10:32 pm

      #155865

      ถ้าเข้าข่ายก็จะโดนเลยครับ ถ้ามีแฮกเกอร์อยู่ และถ้าเป็นผมก็คงเอา wifi มาตั้งเอง
      เพราะฉะนั้นก็ต้องระวังการเล่นเน็ตผ่าน wifi ที่ไม่ได้เข้ารหัสก่อนหละ อันดับแรก

      ถามเพื่อนมาว่าต่อให้เข้ารหัส WEP ที่ตอนนี้เขาแฮกคีย์กันได้ทั่วบ้านทั่วเมืองก็โดนอยู่ดี
      แนะนำว่าควรเข้า WPA, WPA II ไปเลย ฮ่าๆ

  10. saldaphon

    saldaphon Post on May 18, 2011 at 6:59 pm

    #155404

    เอ๋ ในงาน Pwn2Own 2011 ก็รอดไม่ใช่หรอ

  11. Big_pongo

    Big_pongo Post on May 18, 2011 at 7:47 pm

    #155426

    สงสัย… ต้องส่งเป็นไปรษณีย์แล้วอ่ะ … ว่าแต่ Hacker นี่จะมาแอบเปิด จม. ทุกฉบับไหมหนอ!?!?

    ไม่ใช่… !!! น่าห่วงเนอะ แต่ก็… ถ้าเราไม่มีอะไรสำคัญ บนแหล่งๆ ที่ว่านั้น … (นอกเหนือจาก username + password แล้วล่ะก็) … จบ Hacker มันจะไปทำอะไรกับ Facebook ผมหว่า

    หรือว่า … จะมาขอแจมร่วมโต๊อาหารด้วย หรือ… อยากรู้ว่าผมไปหม่ำร้านไหนมาบ้าง!!! (แซว …) บางทีผมก็อาจไม่ได้มองจุดที่ หลายๆ คนคำนึงนะครับ … แต่ก็เชื่อมว่า ถ้าได้ข้อมูเหล่านั้นไป มันก็อันตราย

    ก็…ขอให้มีอะไรมาป้องกันโดยเร็วล่ะกันครับ! หวังๆ อยู่

  12. spicydog

    spicydog Post on May 18, 2011 at 10:17 pm

    #155855

    แฮคเกอร์ไม่ได้มีอยู่ทุกหนทุกแห่ง ยิ่งแฮคเกอร์ที่เชี่ยวชาญยิ่งหายาก อย่าไปกลัวตกใจมากมายจนทำให้ต้องเสียงาน แต่ก็อย่าประมาทเช่นกันครับ ก็ลองหาช่องทางเชื่อมต่ออื่นที่ปลอดภัยเท่าที่จะทำได้ไปก่อน

  13. rtsp

    rtsp Post on May 18, 2011 at 10:42 pm

    #155868

    ผมไม่ต่อ public wifi อยู่ละ ถ้าจำเป็นต้องต่อก็จะ vpn ซ้ำอีกที 😛

  14. NoOdlEz

    NoOdlEz Post on May 19, 2011 at 3:17 am

    #156062

    ถ้า taken คงมันเนอะ อิอิ

  15. 0837476926

    0837476926 Post on May 19, 2011 at 5:29 pm

    #156385

    ผมต้องกลัวใหมเนี่ย

  16. indyend

    indyend Post on May 19, 2011 at 11:14 pm

    #156614

    แล้วผมจะตายมั๊ยครับ… ผมกลัว โดนคนอื่นรู้ว่าผมอยู่บางแสน(อ่าวเวรกรรมบอกเค้าหมด)

  17. rtsp

    rtsp Post on May 19, 2011 at 11:17 pm

    #156616

    อัพเดท ทางกูเกิลแก้จากฝั่ง server แล้วนะครับ ไม่มีอะไรน่าเป็นห่วงละ

  18. poonchanok Post on May 20, 2011 at 12:21 am

    #156662

    หารู้ไม่ว่า ผู้ใช้ ios 99.99% มีความเสี่ยงในการถูกขโมยเงินในกระเป๋าตัง อิอิ

  19. chatreek

    chatreek Post on May 20, 2011 at 2:44 am

    #156747

    แล้วเมื่อไหร่ 2.3.5 มันจะออกหล่ะเนี่ย -*-

  20. ibbz Post on May 20, 2011 at 2:52 am

    #156756

    แก้แล้วนิครับ
    ขอยืมข่าวจาก บล๊อกนั้น นะครับ

    http://www.blognone.com/news/23761

Leave a Reply

To Top