アンドロイド、「権限なし」アプリに機密情報へのアクセスを許可

セキュリティ研究者、グーグルのモバイルOSのセキュリティ問題を示す概念実証アプリを公開。

アンドロイドがアプリの取り締まりを甘くしてきた経緯もあり、グーグルのモバイル・オペレーティング・システムは安全でないと批判されてきた。

しかし今、権限のないアプリが新たな脅威となり、機密性の高い個人情報に無断でアクセスできるようになっているようだ。 Leviathan Security Groupの研究者であるPaul Brodeurは、今週初めのブログ投稿で、「パーミッションなし」アプリが依然としてデバイスのSDカード、端末識別データ、および他のアプリによって保存されたファイルにアクセスできることを実証するための概念実証を作成したと説明した。

SDカード上で、Brodeurのアプリは、写真、バックアップ、外部設定ファイルを含むすべての非表示ファイルのリストを得た。 Brodeur氏は、OpenVPNの証明書が自分のデバイスのSDカードに保存されていることを発見したという。

「すべてのファイルの内容を取得することは可能ですが、どのファイルを取得し、どのファイルをつまらなくするかを決めるのは他の人に任せます」と彼は言った。

そして、デバイスにインストールされているアプリのある/data/system/packages.listファイルを取得し、そのディレクトリから機密情報を読み取れるかどうかをスキャンした。 彼はテスト中、他のアプリに属するいくつかのファイルを読むことができたと語った。 「この機能は、昨年Skypeで報告されたような、弱いパーミッションの脆弱性を持つアプリを見つけるために使われる可能性がある。

最後に、ブロデューアのアプリは携帯電話の識別情報を収集することができた。 PHONE_STATE」パーミッションがないと、アプリケーションはデバイスの国際移動機 器識別番号（International Mobile Equipment Identity）または国際移動加入者識別番号（International Mobile Subscriber Identity）を読み取ることができない。 しかし、グローバル・システム・フォー・モバイル・コミュニケーションズの情報とSIMベンダーのIDは読み取ることができた。

「このアプリは、上記の3つの異なるアクションを実行するためにボタンを使用していますが、インストールされたアプリがユーザーの操作なしでこれらのアクションを実行することは些細なことです」と彼は書いている。

Brodeur氏は、このアプリをAndroid4.0.3 Ice Cream SandwichとAndroid 2.3.5 Gingerbreadでテストしたという。

出典：https://news.cnet.com/8301-1009_3-57412799-83/android-gives-no-permissions-apps-access-to-sensitive-info/