גוגל מצאה פרצת אבטחה חמורה בקובץ ההתקנה של פורטנייט לאנדרואיד

כולם ראו את זה מגיע: קובץ ההתקנה של Fortnite הכיל פירצת אבטחה חמורה למדי שהתגלתה על ידי לא אחרת מאשר גוגל בכבודה ובעצמה.

תמונה: Epic Games

הכתובת הייתה על הקיר: אחרי שמפתחת ומפיצת המשחק פורטנייט, Epic Games, העדיפה לוותר על הפצת המשחק דרך חנות ה-Google Play, ולהכריח משתמשים להוריד את המשחק מהאתר הרשמי שלה, מתברר שמה שמומחי האבטחה חשבו שיקרה – אכן קרה. פגם חמור שנמצא בתוכנת ההתקנה הרשמית של פורטנייט התגלה – באופן מפתיע – על ידי מי שמצאה את עצמה ללא הכנסות ממשחק הלהיט: גוגל.

לא רצתה לוותר על ההכנסות, והמשתמשים משלמים

נתחיל עם תקציר האירועים הקודמים: במקום להפיץ את המשחק כרגיל דרך חנות ה-Play, פורטנייט הופץ לאנדרואיד דרך קובץ APK שניתן להורדה באתר הרשמי של פורטנייט. בכך שנמנעה מלהפיץ את המשחק דרך לחנות ה-Play הרשמית של גוגל, התחמקה Epic מתשלום עמלות לגוגל בגובה 30% על הכנסות מרכישות בתוך המשחק. מדובר בעמלת חובה שכל המפתחים משלמים לגוגל.

מאחר שמדובר באחד המשחקים המכניסים והפופולארים ביותר, מובן כי Epic רוצה לשמור את כל ההכנסות ממנו לעצמה. הבעיה מתחילה בכך שכדי להפעיל את קובץ ההתקנה, המשתמש צריך לאשר התקנה של תוכן ממקורות לא מאושרים, וזהו פתח לסכנות רבות.


כל מה שרציתם לדעת על Fortnite ולא העזתם לשאול


כדי להתקין את המשחק, אתם לא מורידים מהאתר הרשמי את המשחק עצמו, אלא קובץ התקנה שמוריד, מעדכן ומתקין את המשחק על גבי מכשיר האנדרואיד שלכם משרתי Epic. לפי הממצאים של גוגל, ניתן בקלות ״לחטוף״ את ההורדה ברגע שאתם לוחצים על כפתור ההתקנה, ולגרום לקובץ ההתקנה להתקין כל קובץ שהתוקף מעוניין להתקין בנוסף או במקום את פורטנייט, מבלי שהמשתמש בכלל יודע שמשהו התרחש ברקע. מתקפה מסוג זה נקראת Man-In-The-Disk. קובץ ההתקנה של פורטנייט מבקש הרשאות מלאות לכתיבה וקריאה על המכשיר, כך שניתן להתקין פחות או יותר את כל מה שעולה על דעתו של התוקף: רוגלות, נוזקות, וירוסים ועוד.

כדי שהדבר יתרחש, על מכשיר המשתמש צריכה להיות מותקנת אפליקציה כלשהי שמחפשת פרצה מסוג זה, ומעוניינת להשתלט על תהליך ההתקנה. האפליקציה אפילו לא חייבת להיות זדונית בהכרח, אלא כזו עם פרצת אבטחה שיכולה להיות מנוצלת.

חשבתם שאתם בטוחים בסמסונג? תחשבו שוב

בניגוד לשאר המכשירים, Epic חתמה על חוזה הפצה משונה עם סמסונג והפיצה את המשחק דרך חנות האפליקציות של Galaxy – כן, זו שסביר להניח מעולם לא השתמשתם בה. בניגוד למה שאתם חושבים, שם נמצאת פירצה חמורה אף יותר. מכשירי סמסונג מתייחסים לחנות של סמסונג בתור מקור מוכר ולא ״Unknown Source” כפי ששאר המכשירים מתייחים לקובץ ההתקנה של פורטנייט. כך, אם משתמש מתקין את קובץ ההתקנה של פורטנייט מהחנות של סמסונג, הוא אפילו לא זוכה לראות מסך אזהרה שאומר לו שהוא עומד להתקין קבצים ממקור לא ידוע.


למה גוגל צריכה לדאוג מההשקה של פורטנייט מחוץ ל-Play Store?


גוגל אף שיחררה סרטון שמדגים לכם איך תוך פחות משתי דקות המכשיר שלכם פשוט נחשף למתקפה ומתקין קובץ מזויף של פורטנייט, על אף שקובץ ההתקנה המקורי של פורטנייט הורד מחנות האפליקציות של סמסונג.

גוגל דיווחה ל-Epic Games על הפרצה כבר ב-15 באוגוסט, ולמזלנו, הפרצה תוקנה בשקט על ידי Epic תוך 48 שעות. כדי לבדוק אם אתם חשופים למתקפה, וודאו כי קובץ ההתקנה של פורטנייט שיש ברשותכם הוא מגירסה 2.1 ומעלה. על כל פנים, כאשר תנסו להפעיל את קובץ ההתקנה, הוא יעדכן את עצמו תמיד לגירסה החדשה, כך שאתם אמורים לקבל את קובץ ההתקנה המתוקן. עם זאת, לא ידוע בשלב הזה האם הפרצה הזו נוצלה כבר על ידי תוקפים, ובהתחשב בפופולאריות העצומה של המשחק ובעניין הרב סביב השקתו באנדרואיד, יש סיכוי לא רע שהדבר כבר התרחש.

מעכשיו גיקטיים גם בטלגרם מעכשיו גיקטיים גם בטלגרם להצטרפות לערוץ הטלגרם שלנו לחץ כאן

מנכ״ל Epic Games: חלק מקמפיין מתוזמר של גוגל כנגדנו

מנכ״ל Epicֿ, טוד סוויני, אמנם הוציא הודעה בה הוא מודה לגוגל על העזרה במציאת חור האבטחה החמור הזה, אבל לא מפספס הזדמנות לעקוץ אותה: ״היה זה מעשה חסר אחריות מצד גוגל לשחרר באופן פומבי את הפרטים הטכניים של פגם האבטחה בכזו מהירות, בעוד קובצי התקנה רבים לא עודכנו ועדיין חשופים למתקפות״. כמו כן, הוא טוען כי מהנדס אבטחה בחברה פנה לגוגל בבקשה לדחות את פרסום בעיית האבטחה ב-90 יום, כדי לאפשר לחברה לעדכן בשקט את כל קבצי ההתקנה, אך זו סירבה לבקשתם. ״חברה גדולה כמו גוגל צריכה לגלות יותר אחריות בתחום תזמוני פרסום מידע חסוי, ולא לסכן את המשתמשים כחלק מקמפיין פרסומי כנגד ההפצה של פורטנייט מחוץ ל-Google Play״.

בין אם סוויני צודק או לא, ההחלטה להפיץ את המשחק הפופולארי ביותר בעולם כעת מחוץ לכותלי חנויות האפליקציות הרשמיות מסכנת בעיקר את המשתמשים, שחלק ענק מהם הוא קהל צעיר שלא מבין את ההשלכות של התקנת קבצים ממקורות לא מוכרים.

ונסיים בריקוד

לפני שאתם נכנסים לדיכאון, בואו נפצח במחול: כשהיא לא גורמת למשתמשים להוריד קובצי התקנה מסוכנים למכשירי האנדרואיד שלהם, Epic Games מנסה לגרום לכל המשתמשים שלה להפעיל אימות דו שלבי (Two-factor authentication). זוהי שכבת האבטחה הנוספת שמכריחה אתכם להזין קוד מיוחד שנשלח אליכם בהודעת טקסט כדי לבצע פעולת Login ממכשיר חדש או לא מוכר, ובכך מגן עליכם באופן כמעט מוחלט מחטיפה ופריצה לחשבונות שלכם.

כדי לגרום ליותר משתמשים לעבור לאימות הדו שלבי, הציעה Epic Games ריקוד בונוס (Emote או ‘אימוט’) מיוחד ובלעדי לאלו שיפעילו את האימות, כאשר הבונוס הזה מגיע בדמות ריקוד Boogie Down. תנועות הריקוד במשחק הפכו להיות מזוהות למדי עימו, כאשר כדי לפתוח אותן משתמשים צריכים לשלם ב-V-Bucks שהוא המטבע המקומי של המשחק, שעולה כסף במקור אך ניתן גם להרוויח על ידי ביצוע משימות שונות. את הריקוד הנוכחי ניתן להשיג בחינם לגמרי ואך ורק על ידי הפעלת האימות הדו שלבי.

עידן בן טובים

נולד עם ג׳ויסטיק ביד. יש לו הרבה יותר מדי גאדג׳טים והרבה פחות מדי זמן פנוי כדי לשחק עם כולם. בעל פטיש לא מוסבר לביצוע קליברציות לסוללות של מכשירים. כשהוא לא עסוק בלכתוב על טכנולוגיה, הוא אוהב לדבר עליה, והרבה

הגב

5 תגובות על "גוגל מצאה פרצת אבטחה חמורה בקובץ ההתקנה של פורטנייט לאנדרואיד"

avatar
Photo and Image Files
 
 
 
Audio and Video Files
 
 
 
Other File Types
 
 
 

* היי, אנחנו אוהבים תגובות!
תיקונים, תגובות קוטלות וכמובן תגובות מפרגנות - בכיף.
חופש הביטוי הוא ערך עליון, אבל לא נוכל להשלים עם תגובות שכוללות הסתה, הוצאת דיבה, תגובות שכוללות מידע המפר את תנאי השימוש של Geektime, תגובות שחורגות מהטעם הטוב ותגובות שהן בניגוד לדין. תגובות כאלו יימחקו מייד.

סידור לפי:   חדש | ישן | הכי מדורגים
חזי
Guest

תיקון – סמסונג חתמה על חוזה הפצה משונה עם סמסונג

יניב אביטל
Admin

תודה!

עופר
Guest

נכנסתי לעומק וראיתי שיש עוד כמה פרטים לתמונה:

גוגל הודיעה על זה לעולם אחרי 7 ימים, לא מיד אחרי התיקון.
לפי כללי ה-disclosure של גוגל (שמצוינים גם בדיווח הבאג עצמו: https://issuetracker.google.com/issues/112630336) ניתן לגלות אחרי 90 יום או אחרי שתיקון כבר מספיק נפוץ: “After 90 days elapse or a patch has been made broadly available”.

גוגל לא תמימה (בכך שהיא רוצה שאפליקציות יהיו אצלה בחנות ומשום מה מטרגטת דווקא את פורטנייט בבדיקות האבטחה שלה) וגם Epic לא תמימה (בכך שהיא עוקפת את החנות).

חבל רק שגוגל לא מראה פעלתנות שכזו בבדיקה ודיווח של אפליקציות שכן נמצאות בחנות שלה.

סתם אחד
Guest

נראה כמו מהלך מלוכלך של גוגל.. שתי החברות צריכות לקבל על הראש..

מישהו
Guest

EPIC פישלו כאן בענק ואין סיבה שגוגל תחכה 90 יום על פריצה כזאת (אם כי ברור שגוגל ממש לא תמימים) בכל מקרה כל עוד מעדכנים את המשחק אין חשש לפריצה

wpDiscuz

תגיות לכתבה: