एक नई Android भेद्यता ने सुरक्षा जगत को चिंतित कर दिया है — और यह आपके Android फोन को बेहद असुरक्षित छोड़ देती है। यह समस्या StageFright नामक एक मामूली Android मॉड्यूल में छह बग्स के रूप में सामने आई है, जिसका उपयोग मीडिया प्लेबैक के लिए किया जाता है।
StageFright बग्स एक हैकर द्वारा भेजे गए दुर्भावनापूर्ण MMS को StageFright मॉड्यूल के अंदर दुर्भावनापूर्ण कोड निष्पादित करने की अनुमति देते हैं। वहां से, कोड के पास डिवाइस पर नियंत्रण पाने के कई विकल्प होते हैं। अभी तक, लगभग 950 मिलियन डिवाइस इस शोषण के प्रति संवेदनशील हैं।
सीधे शब्दों में कहें, यह इतिहास की सबसे खराब Android भेद्यता है।
साइलेंट टेकओवर
Android यूजर्स इस उल्लंघन से पहले से ही नाराज हैं, और अच्छे कारण से। Twitter पर एक त्वरित नजर डालने से पता चलता है कि खबर वेब पर फैलते ही कई नाराज यूजर्स सामने आ रहे हैं।
इस हमले को इतना डरावना बनाने का एक हिस्सा यह है कि उपयोगकर्ता अपनी रक्षा के लिए बहुत कम कर सकते हैं। संभावना है कि उन्हें पता भी नहीं चलेगा कि हमला हुआ है।
सामान्य रूप से, एक Android डिवाइस पर हमला करने के लिए, आपको उपयोगकर्ता को एक दुर्भावनापूर्ण ऐप इंस्टॉल करने के लिए राजी करना पड़ता है। यह हमला अलग है: हमलावर को बस आपका फोन नंबर जानने की जरूरत है, और एक दुर्भावनापूर्ण मल्टीमीडिया संदेश भेजने की।
आप किस मैसेजिंग ऐप का उपयोग करते हैं, इस पर निर्भर करते हुए, आपको यह भी पता नहीं चल सकता कि संदेश आया है। उदाहरण के लिए: यदि आपके MMS संदेश Android के Google Hangouts से गुजरते हैं, तो दुर्भावनापूर्ण संदेश सिस्टम द्वारा उपयोगकर्ता को इसके आने की सूचना देने से पहले ही नियंत्रण ले सकता है और खुद को छिपा सकता है। अन्य मामलों में, शोषण तब तक शुरू नहीं हो सकता जब तक संदेश वास्तव में देखा न जाए, लेकिन अधिकांश उपयोगकर्ता इसे केवल हानिरहित स्पैम टेक्स्ट या गलत नंबर समझकर नजरअंदाज कर देंगे।
एक बार सिस्टम के अंदर, StageFright के भीतर चल रहा कोड स्वचालित रूप से कैमरा और माइक्रोफोन, साथ ही ब्लूटूथ पेरिफेरल्स, और SD कार्ड पर स्टोर किसी भी डेटा तक पहुंच प्राप्त कर लेता है। यह काफी बुरा है, लेकिन (दुर्भाग्य से) यह सिर्फ शुरुआत है।
जबकि Android Lollipop कई सुरक्षा सुधारों को लागू करता है, अधिकांश Android डिवाइस अभी भी OS के पुराने वर्जन चला रहे हैं, और "प्रिविलेज एस्केलेशन अटैक" नामक किसी चीज के प्रति संवेदनशील हैं। सामान्य रूप से, Android ऐप्स "सैंडबॉक्स्ड" होते हैं, जिससे उन्हें केवल उन OS पहलुओं तक पहुंचने की अनुमति होती है जिन्हें उन्हें स्पष्ट अनुमति दी गई हो। प्रिविलेज एस्केलेशन अटैक दुर्भावनापूर्ण कोड को Android ऑपरेटिंग सिस्टम को "धोखा" देकर डिवाइस तक अधिक से अधिक पहुंच प्राप्त करने की अनुमति देते हैं।
एक बार दुर्भावनापूर्ण MMS द्वारा StageFright पर नियंत्रण कर लेने के बाद, यह इन अटैक्स का उपयोग पुराने, असुरक्षित Android डिवाइस पर पूर्ण नियंत्रण लेने के लिए कर सकता है। यह डिवाइस सुरक्षा के लिए एक बुरे सपने जैसा परिदृश्य है। इस मुद्दे से पूरी तरह प्रतिरक्षित एकमात्र डिवाइस वे हैं जो Android 2.2 (Froyo) से पुराने ऑपरेटिंग सिस्टम चला रहे हैं, जो वह वर्जन है जिसने StageFright को पहली बार पेश किया था।
धीमी प्रतिक्रिया
StageFright भेद्यता मूल रूप से अप्रैल में Zimperium zLabs, सुरक्षा शोधकर्ताओं के एक समूह द्वारा उजागर की गई थी। शोधकर्ताओं ने इस मुद्दे की सूचना Google को दी। Google ने निर्माताओं को जल्दी से एक पैच जारी किया — हालांकि, बहुत कम डिवाइस निर्माताओं ने वास्तव में पैच को अपने डिवाइस पर पुश किया है। बग खोजने वाले शोधकर्ता Joshua Drake का मानना है कि अनुमानित एक बिलियन Android डिवाइस में से लगभग 950 मिलियन हमले के किसी न किसी रूप के प्रति संवेदनशील हैं।
Google के अपने डिवाइस जैसे Nexus 6 को Drake के अनुसार आंशिक रूप से पैच किया गया है, हालांकि कुछ भेद्यताएं बनी हुई हैं। इस विषय पर FORBES को एक ईमेल में, Google ने उपयोगकर्ताओं को आश्वस्त किया कि,
"अधिकांश Android डिवाइस, जिनमें सभी नए डिवाइस शामिल हैं, में कई तकनीकें हैं जिन्हें शोषण को और अधिक कठिन बनाने के लिए डिज़ाइन किया गया है। Android डिवाइस में एक एप्लिकेशन सैंडबॉक्स भी शामिल है जिसे उपयोगकर्ता डेटा और डिवाइस पर अन्य एप्लिकेशन की सुरक्षा के लिए डिज़ाइन किया गया है,"
हालांकि, यह ज्यादा सांत्वना नहीं देता। Android Jellybean तक, Android में सैंडबॉक्सिंग अपेक्षाकृत कमजोर रही है, और कई ज्ञात शोषण हैं जिनका उपयोग इसे बायपास करने के लिए किया जा सकता है। यह वास्तव में महत्वपूर्ण है कि निर्माता इस मुद्दे के लिए एक उचित पैच रोल आउट करें।
आप क्या कर सकते हैं?
दुर्भाग्य से, हार्डवेयर निर्माता इस प्रकार के महत्वपूर्ण सुरक्षा पैच को रोल आउट करने में बेहद धीमे हो सकते हैं। अपने डिवाइस निर्माता के कस्टमर सपोर्ट विभाग से संपर्क करना और पैच कब उपलब्ध होंगे, इसका अनुमान मांगना निश्चित रूप से उचित है। सार्वजनिक दबाव शायद चीजों को गति देने में मदद करेगा।
Drake अपनी खोजों की पूरी सीमा DEFCON में प्रकट करने की योजना बना रहे हैं, एक अंतरराष्ट्रीय सुरक्षा सम्मेलन जो अगस्त की शुरुआत में होता है। उम्मीद है, अतिरिक्त प्रचार डिवाइस निर्माताओं को अपडेट जल्दी जारी करने के लिए प्रेरित करेगा, अब जब हमला सामान्य ज्ञान बन गया है।
एक व्यापक नोट पर, यह इस बात का एक अच्छा उदाहरण है कि Android फ्रैगमेंटेशन सुरक्षा के लिए ऐसा बुरा सपना क्यों है।
iOS जैसे लॉक्ड-डाउन इकोसिस्टम पर, इसके लिए पैच घंटों में जारी किया जा सकता है। Android पर, फ्रैगमेंटेशन के विशाल स्तर के कारण हर डिवाइस को अपडेट करने में महीनों या साल लग सकते हैं। मैं यह देखने में रुचि रखता हूं कि Google आने वाले वर्षों में इन सुरक्षा-महत्वपूर्ण अपडेट को डिवाइस निर्माताओं के हाथों से बाहर निकालने के लिए क्या समाधान लेकर आता है।
क्या आप इस मुद्दे से प्रभावित Android यूजर हैं? अपनी गोपनीयता के बारे में चिंतित? टिप्पणियों में हमें अपने विचार बताएं!
इमेज क्रेडिट: Backlit Keyboard by Wikimedia
