Miksi Android-käyttäjien tulisi huolehtia dynaamisesta koodin lataamisesta

Kun ihmiset käyttävät Android-sovelluksia, mitä taustalla tapahtuu, yleensä ei mene heidän mieleensä. Valitettavasti ohjelmointivaihtoehto, jota kutsutaan dynaamiseksi koodin lataamiseksi, voi aiheuttaa turvallisuusriskejä. Tässä on, mitä sinun tarvitsee tietää siitä.

Mitä dynaaminen koodi ladataan?

Sovelluskehityksessä koko sovelluksen rakentamisessa käytetty lähdekoodi muodostaa koodipohjan. Dynaamisen koodin lataamisen avulla sovellus voi vetää sisältöä koodipohjansa ulkopuolelta ja suorittaa sen toiminnan tai ajon aikana.

Tämä vaihtoehto voi johtaa pienempään sovelluskokoon, koska yleinen käytäntö on tallentaa koodi etänä sen sijaan, että se upotettaisiin Android-paketti (APK).

APK on tiedostomuoto, jota Android käyttää sovellusten jakeluun ja asentamiseen. Se sisältää kaikki komponentit, jotta sovellus voi toimia yhteensopivalla laitteella. Dynaaminen koodin lataus tuo etuja kehityksen kannalta, mukaan lukien jotkut, jotka parantavat sovellusten käytettävyyttä.

Esimerkiksi sovellus voi näyttää henkilölle erilaista sisältöä sen mukaan, käyttääkö hän ilmaista vai premium-versiota. Dynaaminen koodin lataus voi näyttää oikean sisällön käyttäjän tason perusteella lisäämättä APK-kokoa.

Dynaamisen koodin lataamisen avulla kehittäjät voivat myös julkaista uusia sovellusversioita, jotka sisältävät pieniä muutoksia. Käyttäjät saavat uusimmat versiot lataamatta mitään.

Näistä eduista huolimatta dynaaminen koodin lataus voi lisätä Android-sovellusten turvallisuuteen liittyviä riskejä.

Haitalliset sovellukset sisältävät usein dynaamisen koodin lataamisen

Vuoden 2019 tutkimusartikkelin kirjoittajat tutkivat haitallisia Android-sovelluksia löytääkseen niiden yhteisiä piirteitä. He mainitsivat muiden osapuolten tekemän aiemman tutkimuksen, joka osoitti dynaamisen koodin lataamisen vaarallisten sovellusten tärkeimpänä ominaisuutena.

Lähes 20000 sovelluksen 86798 sovelluksesta yksi tutkimus oli dynaaminen koodin lataus.

Lisäselvitys osoitti, että ihmiset sijoittivat vaarallisen sovelluksen ydintoiminnot itsenäisiin kirjastoihin ja käyttävät sitten dynaamista koodilatausta sen suorittamiseen. Tämä lähestymistapa suojaa sovelluksen haitallista käyttäytymistä, mikä tekee siitä vähemmän havaittavissa.

Googlen dokumentaatio havaitsemistaan ​​haittaohjelmatyypeistä jopa selventää, että dynaaminen koodin väärinkäyttö voi saada ilmoituksen takaoven lajikkeeksi. Yritys määrittelee takaoven haittaohjelmien suorittavan mahdollisesti haitallisia, kauko-ohjattavia toimia laitteella. Sitten se antoi esimerkin koodin dynaamisesta lataamisesta, jonka avulla sovellus pystyi purkamaan tekstiviestejä.

Google sanoo kuitenkin tarkastelevansa, toimiiko koodin suoritus nimenomaisesti haitallista toimintaa. Jos ei, yritys pitää mielivaltaista koodin suorittamista haavoittuvuutena kehittäjälle korjaustiedostoksi.

Vaarallisissa sovelluksissa mielivaltainen koodin suorittaminen sallii hakkerin suorittaa komentoja etälaitteella kohdennetulla laitteella.

Tutkijat tunnistavat dynaamisen koodin latausongelman

Google tekee usein päättäväisiä toimia käyttäjien turvallisuuden lisäämiseksi. Esimerkiksi kolmannen osapuolen evästeet seuraavat käyttäjiä, tallentavat tietonsa ja käyttävät sitä myöhemmin kohdistettujen mainosten näyttämiseen. Yritys kuitenkin estä kolmannen osapuolen evästeet Chrome-selaimessa vuoteen 2022 mennessä. Siinä ei annettu tarkkaa päivämäärää muutokselle.

Turvallisuuteen keskittyminen ei kuitenkaan vapauta yritystä ongelmista. Kyberturvallisuuden tutkijat havaitsivat jatkuvan mielivaltaisen koodin suorittamisen Google-sovellus ja ilmoitti siitä yritykselle. Ongelma korjattiin toukokuussa 2021, mutta se sai enemmän ihmisiä kiinnittämään huomiota dynaamiseen koodin lataamiseen liittyviin mahdollisiin ongelmiin.

Tutkijat vahvistivat, että haavoittuvuus antaisi hyökkääjän käynnistää sovelluksen vain kerran ennen henkilön Google-tietojen varastamista. Hakkeri voi hyödyntää Google-sovelluksen virhettä vetääkseen koodikirjaston vaarallisesta sovelluksesta henkilön laitteella.

Sieltä verkkorikollinen voi käyttää melkein kaikkia henkilön Google-tietoja, mukaan lukien heidän sähköpostinsa. He voivat jopa aktivoida käyttäjän mikrofonin, kameran ja reaaliaikaiset sijaintitiedot.

Kiinnitä huomiota vaarallisten sovellusten haavoittuvuuksiin liittyviin varoituksiin

Koska dynaaminen koodin lataus tapahtuu kehityspäässä, tavallinen sovelluksen käyttäjä ei voi tehdä mitään tarkistaa, voisiko tietty tarjous aiheuttaa piileviä vaaroja sen toiminnasta tausta. On kuitenkin viisasta pitää silmällä kaikkia Android-sovellusten suojaus uutiset, jotka nousevat teknisiin otsikoihin.

Kyberturvallisuuden tutkijat etsivät jatkuvasti asioita, jotka saattavat altistaa satoja tuhansia sovelluksen käyttäjiä, ja raportoivat niistä sitten. Pysyminen tietoisena mahdollisista sovelluksen vaaroista auttaa käyttäjiä päättämään, päivitetäänkö tai milloin tahansa mahdollisesti ongelmallinen sovellus.

10 suosittua Android-sovellusta, joita EI pidä asentaa

Nämä Android-sovellukset ovat erittäin suosittuja, mutta ne vaarantavat myös turvallisuutesi ja yksityisyytesi. Jos olet asentanut ne, sinun kannattaa poistaa ne tämän lukemisen jälkeen.

Lue seuraava

Kirjailijasta