Dans la couche HTC Sense présente sur les téléphones de la marque taïwanaise, une faille affecte certains smartphones dont l’EVO 3D. Les informations sont très nombreuses et facilement accessibles.
Android est souvent pointé du doigt de par son manque de sécurité. Des entreprises qui disposent de leur propre application anti-virus (ou anti quelque chose) sur l’Android Market trouvent régulièrement des failles dans le système d’exploitation de Google. Sous cet air de manque de sécurité se cache un problème essentiel : la part de marché occupée par Android. Tout comme Windows, le système d’exploitation est victime de son succès. En effet, une personne malveillante aura beaucoup plus intérêt à attaquer Android, car les cibles potentielles sont beaucoup plus nombreuses. Cela ne dédouane pas les brèches du système, mais montre que derrière ces annonces chocs, il y a souvent des personnes qui y trouvent un intérêt (souvent financier).
Les modèles concernés se trouvent principalement aux Etats-Unis (Thunderbolt, EVO 4G, EVO Shift 4G ?, MyTouch 4G Slide ?, Vigor ?), mais l’EVO 3D et peut-être même les Sensation sont également infectés. Cette faille donne potentiellement accès à :
- La liste des comptes utilisateur (y compris l’adresse mail et le statut de synchronisation)
- La dernière localisation connue (avec le GPS ou triangulation)
- Historique très limité des derniers emplacements
- Numéros de téléphone du journal d’appels
- Les SMS : contenu (aucune certitude quant à la possibilité de le déchiffrer) et numéros de téléphone
- Les logs du système : commandes dmesg et logcat
Dans les récentes mises à jour de Sense, HTC a introduit des outils qui collectent des informations. L’utilisateur ne possède aucun droit d’accès et devient donc victime d’une très mauvaise opération de la part de l’entreprise taïwanaise. Il lui est seulement possible de désactiver l’envoi du fichier sur les serveurs de l’entreprise, mais la collecte a toujours lieu. Pour avoir accès à l’ensemble de ces informations, il suffit simplement qu’une application dispose de la permission android.permission.INTERNET. Sachant que les smartphones sont ultra-connectés au web, les cibles potentielles et invisibles peuvent être nombreuses.
L’intérêt du mécanisme des permissions est de n’autoriser les applications qu’à avoir accès à une certaine partie des fonctionnalités du téléphone. Connaissant le thème, la personne peut ainsi décider si l’accès au GPS à un Scrabble est ou non normal par exemple. Mais ici, elle peut voir beaucoup plus d’informations à cause du HTCLoggers. Outre les informations préalablement citées, des informations sur la batterie, le processeur, l’adresse IP, la version d’android, les notifications affichées… sont aussi collectées par cette application qui tend les bras aux personnes malveillantes.
Selon Android Police, le premier à avoir relayé l’information, une application demandant la permission Internet bénéficie « gratuitement » de :
- ACCESS_COARSE_LOCATION : Emplacement du téléphone par triangulation ou WiFi (peu précis)
- ACCESS_FINE_LOCATION : Emplacement du téléphone avec le GPS (très précis)
- ACCESS_LOCATION_EXTRA_COMMANDS : Créer des sources de localisation fictives à des fins de test
- CESS_WIFI_STATE : Informations sur les réseaux WiFi
- BATTERY_STATS : Statistiques d’usage de la batterie
- GET_PACKAGE_SIZE : Taille utilisée par un package
- GET_TASKS : Information à propos des tâches qui tournent en tâche de fond
- READ_LOGS : Accès aux logs (trace) de bas niveau du système
- READ_SYNC_SETTINGS : Informations sur les options de synchronisation
- READ_SYNC_STATS : Statistiques sur la synchronisation
- DUMP : Pile d’exécution des services du système
Voici une démonstration de la faille :
https://youtube.com/watch?v=YoTUkQ7SlNU%3Fversion%3D3%26hl%3Dfr_FR%26rel%3D0
A l’heure actuelle, la seule méthode pour éradiquer cette faille consiste à supprimer l’APK nommée htcloggers. Contacté par HTC depuis le 24 septembre dernier, aucune annonce officielle n’est pour l’instant donnée. La seule réponse est : qu’elle arrivera dès [qu’elle aura pu] déterminer la véracité de l’annonce et les mesures, s’il y a lieu, à prendre. Sachant que le bad buzz s’amplifie d’heure en heure, des informations devraient très prochainement arriver.
Des invités passionnants et des sujets palpitants ! Notre émission UNLOCK est à retrouver un jeudi sur deux en direct, de 17 à 19h sur Twitch. Pensez aussi aux rediffusions sur YouTube !
Pourquoi ne pas juste installer une application de sécurité pour combler ça? Comme par exemple leomaster (https://play.google.com/store/apps/details?id=com.leo.appmaster&hl=en). Une app gratuite qui permet de préserver la confidentialité de son téléphone: applocker, wifi securtiy scan et bien d'autre encore.
Tout comme iOs
Tout comme iOs
Qui a dit qu'il n'y avait pas de problème ? Au contraire, HTC a fait une grosse connerie là et personne ne le nie. Seulement, il y a une différence entre HTC et Android. Donc comparer iOS avec HTC n'est pas viable.
Qui a dit qu'il n'y avait pas de problème ? Au contraire, HTC a fait une grosse connerie là et personne ne le nie. Seulement, il y a une différence entre HTC et Android. Donc comparer iOS avec HTC n'est pas viable.
Ah oui mais non. Un port local pour une communication inter-process au sein d'une même machine ? Sur un PC, autant utiliser des tubes nommés, de la mémoire partagée, que sais-je. De plus, dans le cas d'Android, la communication inter-process est gérée par un mécanisme : content-provider. Bon, ça n'empêche que port local, fichier log accessible à tout le monde, content-provider ou autre, une application qui expose à tout le monde les petits secrets auxquels on lui permet d'accéder, c'est une grosse grosse connerie de la part du créateur. Et comme en l’occurrence, il n'est pas possible de désinstaller cette application pour l'utilisateur lambda.
Ah oui mais non. Un port local pour une communication inter-process au sein d'une même machine ? Sur un PC, autant utiliser des tubes nommés, de la mémoire partagée, que sais-je. De plus, dans le cas d'Android, la communication inter-process est gérée par un mécanisme : content-provider. Bon, ça n'empêche que port local, fichier log accessible à tout le monde, content-provider ou autre, une application qui expose à tout le monde les petits secrets auxquels on lui permet d'accéder, c'est une grosse grosse connerie de la part du créateur. Et comme en l’occurrence, il n'est pas possible de désinstaller cette application pour l'utilisateur lambda.
Vive les couches constructeurs .... Quand vont-ils se rendre compte que leurs jobs c'est de faire du hardware et juste ça !
Vive les couches constructeurs .... Quand vont-ils se rendre compte que leurs jobs c'est de faire du hardware et juste ça !
En programmation un port local est parfois utilisé comme méthode de communication inter-processus. Mais on en voit ici les limites ...
En programmation un port local est parfois utilisé comme méthode de communication inter-processus. Mais on en voit ici les limites ...
le plus choquant est le fait qu'HTC s'est laissé une backdoor.
le plus choquant est le fait qu'HTC s'est laissé une backdoor.
si on avait remplacé htc par ios , on aurait vu débarqué les messages de haines et pueril etc , comme quelqu'un à dit deux poids deux mesure ... je comprend pas trop la comparaison avec windows qui n'est pas comparable soit si vous voulez minimisé le problème , c'est vos oignon après gingerbreak ... voilà cette nouvelle faille critique. Ca fait vraiment fanboy de faire l'autruche, c'est pas par ce qu'on reconnait un problème qu'on troll... franchement
si on avait remplacé htc par ios , on aurait vu débarqué les messages de haines et pueril etc , comme quelqu'un à dit deux poids deux mesure ... je comprend pas trop la comparaison avec windows qui n'est pas comparable soit si vous voulez minimisé le problème , c'est vos oignon après gingerbreak ... voilà cette nouvelle faille critique. Ca fait vraiment fanboy de faire l'autruche, c'est pas par ce qu'on reconnait un problème qu'on troll... franchement
les constructeurs doivent vraiment faire attention à ces failles !!!
les constructeurs doivent vraiment faire attention à ces failles !!!
oui la question que l'article ne semble pas poser et qui est pour moi essentielle est : pour quelle raison HTC a besoin de cela pour la surcouche Sense ?
oui la question que l'article ne semble pas poser et qui est pour moi essentielle est : pour quelle raison HTC a besoin de cela pour la surcouche Sense ?
perso que une personne connaise mon e-mail et ma position sa ne me derange pas trop facebook en connais plus sur ma vie ...
perso que une personne connaise mon e-mail et ma position sa ne me derange pas trop facebook en connais plus sur ma vie ...
perso que une personne connaise mon e-mail et ma position sa ne me derange pas trop facebook en connais plus sur ma vie ...
Serais-je le seul à être choquer de savoir que ces fabricants se permettent de collecter nos informations comme ça sans en avoir rien à foutre de notre avis?
Serais-je le seul à être choquer de savoir que ces fabricants se permettent de collecter nos informations comme ça sans en avoir rien à foutre de notre avis?
C'est la manière qu'à HTC de stocker la messages dans ses logs.
C'est la manière qu'à HTC de stocker la messages dans ses logs.
Ce que je voulais dire, c'est que pour avoir accès aux droits root, il faut exploiter des failles du système Android. Du coup, c'est la preuve que le système en a. On pourrait tout à fait envisager le fait que le droit root soit accordé simplement aux utilisateurs comme sur un Linux standard sans pour autant l'obtenir de manière biaisée.
Ce que je voulais dire, c'est que pour avoir accès aux droits root, il faut exploiter des failles du système Android. Du coup, c'est la preuve que le système en a. On pourrait tout à fait envisager le fait que le droit root soit accordé simplement aux utilisateurs comme sur un Linux standard sans pour autant l'obtenir de manière biaisée.
L'accès doit est certes dangereux, mais il permet de faire plus de choses : tu n'as rien sans rien.
L'accès doit est certes dangereux, mais il permet de faire plus de choses : tu n'as rien sans rien.
"Mac OS réputé particulièrement sécurisé, tombe presque chaque année le premier dès que le navigateur est lancé." Les mecs, qui ont des semaines pour préparer leurs attaques, savent qu'ils repartent avec le machine piratée. Alors ils sont pas fous les gars : ils font tout pour repartir avec le Mac ;)
"Mac OS réputé particulièrement sécurisé, tombe presque chaque année le premier dès que le navigateur est lancé." Les mecs, qui ont des semaines pour préparer leurs attaques, savent qu'ils repartent avec le machine piratée. Alors ils sont pas fous les gars : ils font tout pour repartir avec le Mac ;)
http://fr.wikipedia.org/wiki/Pwn2Own, intéressant la section "Téléphones portables". Même si ce n'est pas parce que les participants ont échoué à trouver des failles que le système est sécurisé. La meilleure preuve qui indique le système Android est vulnérable c'est l'accès root qui est est disponible sur toutes les versions.
http://fr.wikipedia.org/wiki/Pwn2Own, intéressant la section "Téléphones portables". Même si ce n'est pas parce que les participants ont échoué à trouver des failles que le système est sécurisé. La meilleure preuve qui indique le système Android est vulnérable c'est l'accès root qui est est disponible sur toutes les versions.
Je ne reviendrai pas sur le cas d'Android mais si il y a une chose que le Pwn2own nous a montré c'est que que Windows n'est pas pire que les autres OS question sécurité et que, quand il y a faille, c'est presque toujours la faute de l'utilisateurs ou d'un logiciel tiers et ce quelque soit le système. Mac OS réputé particulièrement sécurisé, tombe presque chaque année le premier dès que le navigateur est lancé.
Je ne reviendrai pas sur le cas d'Android mais si il y a une chose que le Pwn2own nous a montré c'est que que Windows n'est pas pire que les autres OS question sécurité et que, quand il y a faille, c'est presque toujours la faute de l'utilisateurs ou d'un logiciel tiers et ce quelque soit le système. Mac OS réputé particulièrement sécurisé, tombe presque chaque année le premier dès que le navigateur est lancé.
Hé merde :/ J'ai encore acheté le gsm qu'il fallait pas :'(
J'ai bien compris ce que tu voulais dire sauf que tu compares deux choses qui ne se comparent pas. Dans le cas de Windows, c'est le système qui est mis en cause, dans ce cas précis, c'est une application. Bien entendu, il y a des failles Android, comme dans de nombreux systèmes, mais ce n'est pas le propos ici. De plus, il est clair qu'un système populaire verra ses failles exploitées/révélées plus facilement qu'un système peu utilisé. Là où la différence se fait, c'est sur la nature des failles et la facilité à les exploiter. Et c'est sur ces points que Windows a beaucoup pêché par le passé. J'ai de nombreux exemples pour montrer que Windows a été fait avec les pieds, as du des exemples/arguments à avancer concernant ta phrase "De sa mauvaise conception vous voulez dire ?" ? C'est chouette de balancer des petites phrases assassines pour lancer des trolls, mais il faut un minimum de matière.
Hé merde :/ J'ai encore acheté le gsm qu'il fallait pas :'(
J'ai bien compris ce que tu voulais dire sauf que tu compares deux choses qui ne se comparent pas. Dans le cas de Windows, c'est le système qui est mis en cause, dans ce cas précis, c'est une application. Bien entendu, il y a des failles Android, comme dans de nombreux systèmes, mais ce n'est pas le propos ici. De plus, il est clair qu'un système populaire verra ses failles exploitées/révélées plus facilement qu'un système peu utilisé. Là où la différence se fait, c'est sur la nature des failles et la facilité à les exploiter. Et c'est sur ces points que Windows a beaucoup pêché par le passé. J'ai de nombreux exemples pour montrer que Windows a été fait avec les pieds, as du des exemples/arguments à avancer concernant ta phrase "De sa mauvaise conception vous voulez dire ?" ? C'est chouette de balancer des petites phrases assassines pour lancer des trolls, mais il faut un minimum de matière.
c'est sur, mais tellement de gens (fanboy) proclament Sense comme l'interface et la surcouche parfaite. Après, des failles on en découvre partout, dans ios, dans Wp7, dans W7, dans ubuntu etc ... mais des failles majeur, c'est pas si courant que ca
J'en sais rien moi, demande à HTC :D
J'en sais rien moi, demande à HTC :D
Non mais pendant des années on a pas arrêté de dire que si Windows était bourré de failles, c'était parce que c'était conçu avec les pieds, et maintenant qu'on a la même chose avec Android, on écrit des trucs comme : "Tout comme Windows, le système d’exploitation est victime de son succès." Ca me fait un peu marrer ce 2 poids 2 mesures c'est tout ;)
Non mais pendant des années on a pas arrêté de dire que si Windows était bourré de failles, c'était parce que c'était conçu avec les pieds, et maintenant qu'on a la même chose avec Android, on écrit des trucs comme : "Tout comme Windows, le système d’exploitation est victime de son succès." Ca me fait un peu marrer ce 2 poids 2 mesures c'est tout ;)
Encore une victime d'une lecture trop rapide ... Ce n'est pas le système Android qui est en cause, c'est une application qui fait n'importe quoi. Prenons un exemple simple : http://www.openbsd.org/fr/, l'une des distributions les plus sécurisées de base. Si tu bloques tous tes ports, que tu n'ouvres que le port HTTP, SSH et que tu ne mets qu'une simple page HTML avec juste du texte. Le mot de passe SSH est d'une complexité incroyable. On peut raisonnablement penser que le serveur sur lequel l'ensemble tourne est "invulnérable". Oui mais voilà ... le mec qui a écrit les quelques lignes de texte de la page HTML a écrit les identifiants SSH dans la source de la page ...
Encore une victime d'une lecture trop rapide ... Ce n'est pas le système Android qui est en cause, c'est une application qui fait n'importe quoi. Prenons un exemple simple : http://www.openbsd.org/fr/, l'une des distributions les plus sécurisées de base. Si tu bloques tous tes ports, que tu n'ouvres que le port HTTP, SSH et que tu ne mets qu'une simple page HTML avec juste du texte. Le mot de passe SSH est d'une complexité incroyable. On peut raisonnablement penser que le serveur sur lequel l'ensemble tourne est "invulnérable". Oui mais voilà ... le mec qui a écrit les quelques lignes de texte de la page HTML a écrit les identifiants SSH dans la source de la page ...
mouais
mouais
Une question se pose alors.... quelle est l'intérêt pour une application qui visent à créer des logs d'ouvrir un port local ? O_o
Une question se pose alors.... quelle est l'intérêt pour une application qui visent à créer des logs d'ouvrir un port local ? O_o
"Tout comme Windows, le système d’exploitation est victime de son succès." De sa mauvaise conception vous voulez dire ?
"Tout comme Windows, le système d’exploitation est victime de son succès." De sa mauvaise conception vous voulez dire ?
"Les SMS : contenu (aucune certitude quant à la possibilité de le déchiffrer) et numéros de téléphone"excusez moi mais depuis quand les sms sont crypté ?
"Les SMS : contenu (aucune certitude quant à la possibilité de le déchiffrer) et numéros de téléphone"excusez moi mais depuis quand les sms sont crypté ?
Je me réponds à moi même après quelques recherches, en fait HTCLogger ouvre un port en local sans protection, permettant à tout un chacun de venir faire des requêtes sur le téléphone. Du coup ... un portable vulnérable connecté en Wifi peut sans doute se faire piquer ses informations, même sans télécharger d'application malveillante ...
Je me réponds à moi même après quelques recherches, en fait HTCLogger ouvre un port en local sans protection, permettant à tout un chacun de venir faire des requêtes sur le téléphone. Du coup ... un portable vulnérable connecté en Wifi peut sans doute se faire piquer ses informations, même sans télécharger d'application malveillante ...
Je comprends pas que les mecs se posent pas ce genre de question dans la phase de dev, ou a minima detecte la faille lors de la validation du soft. Ca en dit long sur la politique de securité de HTC...
Je comprends pas que les mecs se posent pas ce genre de question dans la phase de dev, ou a minima detecte la faille lors de la validation du soft. Ca en dit long sur la politique de securité de HTC...
Non le log n'est pas stocké sur la SD Le log système n'a rien à faire sur une mémoire qui peut-être enlevée à tout moment
Non le log n'est pas stocké sur la SD Le log système n'a rien à faire sur une mémoire qui peut-être enlevée à tout moment
La perfection n'etant possible que lorsque c'est cree par des etres parfaits, ce que par definition nous ne sommes pas... Donc non ce n'est pas parfait.
La perfection n'etant possible que lorsque c'est cree par des etres parfaits, ce que par definition nous ne sommes pas... Donc non ce n'est pas parfait.
Du coup, étant donné que la faille semble être la lecture du fichier de log de htclogger, je ne sais pas si la faille fonctionne réellement. Je n'ai pas pu voir la vidéo en entier, car c'est filmé n'importe comment et je n'ai pas le son. Du coup je n'ai peut être pas compris la subtilité.
Du coup, étant donné que la faille semble être la lecture du fichier de log de htclogger, je ne sais pas si la faille fonctionne réellement. Je n'ai pas pu voir la vidéo en entier, car c'est filmé n'importe comment et je n'ai pas le son. Du coup je n'ai peut être pas compris la subtilité.
c'est sur, mais tellement de gens (fanboy) proclament Sense comme l'interface et la surcouche parfaite. Après, des failles on en découvre partout, dans ios, dans Wp7, dans W7, dans ubuntu etc ... mais des failles majeur, c'est pas si courant que ca
quels sont les effets de la désinstallation de cette application?
quels sont les effets de la désinstallation de cette application?
Et c'est la qu'on se dis que les les mises a jours, ne servent pas qu'a avoir le kikitoutdur. Sense n'est pas censé etre la surcouche parfaite ?
Si pour lire la SD ou la mémoire USB, il faut une permission.
Si pour lire la SD ou la mémoire USB, il faut une permission.
aie =/
L'application malveillante n'a pas besoin de la permission de lire le stockage de masse ? En tout cas, dans le cas présent ce n'est pas clairement pas un problème "Android" mais une fuite d'information causée par une application tierce. Si une application possède plein de permissions critique et les expose à la vue de tout le monde, c'est le problème de l'application, pas du système Android.
L'application malveillante n'a pas besoin de la permission de lire le stockage de masse ? En tout cas, dans le cas présent ce n'est pas clairement pas un problème "Android" mais une fuite d'information causée par une application tierce. Si une application possède plein de permissions critique et les expose à la vue de tout le monde, c'est le problème de l'application, pas du système Android.
Non c'est clairement l'apk htcloggers que HTC a faite pour Sense.
Non c'est clairement l'apk htcloggers que HTC a faite pour Sense.
info deja vieille de 2 jours sur /. et problème déja abordé depuis plus longtemps sur XDA. APK dezinguable avec Titanium backup pour autant qu'on soit ROOT.
Encore des soucis de fiabilité...ou coup fourré d'un concurrent mal intentionné...?
Encore des soucis de fiabilité...ou coup fourré d'un concurrent mal intentionné...?
aie =/
Ce contenu est bloqué car vous n'avez pas accepté les cookies et autres traceurs. Ce contenu est fourni par Disqus.
Pour pouvoir le visualiser, vous devez accepter l'usage étant opéré par Disqus avec vos données qui pourront être utilisées pour les finalités suivantes : vous permettre de visualiser et de partager des contenus avec des médias sociaux, favoriser le développement et l'amélioration des produits d'Humanoid et de ses partenaires, vous afficher des publicités personnalisées par rapport à votre profil et activité, vous définir un profil publicitaire personnalisé, mesurer la performance des publicités et du contenu de ce site et mesurer l'audience de ce site (en savoir plus)
En cliquant sur « J’accepte tout », vous consentez aux finalités susmentionnées pour l’ensemble des cookies et autres traceurs déposés par Humanoid et ses partenaires.
Vous gardez la possibilité de retirer votre consentement à tout moment. Pour plus d’informations, nous vous invitons à prendre connaissance de notre Politique cookies.
Gérer mes choix