Androidos Intentek ártó szándékú hekkelése

Az áprilisi Hackersuli témája az Android intentkezelése és az intentekkel kapcsolatos sebezhetőségek kihasználása lesz. Előadónk így foglalja össze az előadást:

"Egy Android alkalmazás megnyitása minden esetben egy Intent “elsütésével” kezdődik, ezekkel címezhető meg egy app. Az egész operációs rendszer működése különféle alkalmazások Activityjeinek együttműködésére épül. Ezért nem kell például minden appnak fájl böngészőt implementálnia, ha meg akar nyitni egy fotót, de ez teszi támadhatóvá is az alkalmazásokat Intenteken keresztül.
Úgy érdemes gondolni egy Intentre, mint egy bemenetre, amit validálni kell. Ezzel a mentalitással sok támadás kivédhető, de van, amihez megfelelő architekturális döntések és platform támogatás is kell. A legújabb Android verziók segítségünkre lesznek, ugyanakkor a megfelelő védekezéshez a támadási felületek alapos ismerete is szükséges.

Olyan problémákat nézünk meg, mint:

• Jogosultság emelése Intent átirányítással
• Szolgáltatásmegtagadással járó támadás (DoS) szándékosan hibásan konstruált Intentekkel
• Adatszivárgás Intent paraméterek injektálásával
• Másik app megszemélyesítése Taszk hijackeléssel (StrandHogg)

Az előadás felvértez működőképes mitigációk implementálására és Intent alapú támadásokkal szembeni védekezésre."

Köszönjük az EPAM-nak a vendéglátást!