Google libera correção para falha no Android

Após a descoberta de pesquisadores alemães informando que 99% dos usuários Android estariam vulneráveis a ataques, o Google anunciou uma atualização que irá corrigir o problema em todas as versões do sistema.

A falha descoberta pelos pesquisadores permite aos crackers explorar o authToken dos usuários quando estes estiverem conectados a uma rede Wi-Fi não-segura. Os authToken são usados para fazer login em sites como Facebook, Twitter e aplicações do Google, como o calendário e contatos. A brecha de segurança encontrada se localiza dentro da autenticação do login cliente (ClientLogin) utilizado pelos serviços do Google para acessar as APIs.

A equipe responsável pelo Android informou que irá modificar a forma como os aparelhos trabalham para dar garantias aos usuários de que as informações de contato e calendário não fiquem vulneráveis quando conectados a uma rede wireless não-segura.

“Hoje estamos iniciando a liberação de uma correção específica contra esta falha de segurança, que poderia permitir a terceiros que acessassem os dados disponíveis no calendário e contatos. Esta correção não necessita de nenhuma ação por parte dos usuários e será feita em escala global dentro dos próximos dias”, informou um porta-voz do Google ao site All Things Digital.

Segundo o Google, a atualização corrige os erros com os authTokens para o Calendário e Contatos, mas a empresa informou que ainda verifica uma forma de estender essa solução para o serviço de fotos Picasa.

Leia mais »»

Falha pode afetar 99% dos usuários Android

Pesquisadores da Ulm University Institute of Media Informatics, na Alemanha, descobriram uma nova falha no Android que permite aos crackers explorar o authToken dos usuários quando estes estiverem conectados a uma rede Wi-Fi não-segura.

Os authToken são usados para fazer login em sites como Facebook, Twitter e aplicações do Google, como o calendário e contatos. A brecha de segurança encontrada pelos pesquisadores se localiza dentro da autenticação do login cliente (ClientLogin) utilizado pelos serviços do Google para acessar as APIs.

Desta forma, a vulnerabilidade afeta qualquer smartphone com sistema Android e que não tenha feito a atualização para a versão Gingerbread 2.3.4. Os pesquisadores não souberam pontuar se o mesmo ocorre no sistema para tablets Honeycomb 3.0.

Considerando que a grande maioria dos aparelhos Android ainda não foram nem atualizados para o Gingerbread 2.3, os pesquisadores puderam afirmar que cerca de 99% dos usuários estariam vulneráveis a ataques.

De acordo com os pesquisadores, eles pretendiam checar se era possível criar um ataque personificado contra os serviços do Google e descobriram que além de possível, o caminho era bastante simples.

Os tokens utilizados pelo ClientLogin ficam armazenados por duas semanas e essa brecha de segurança permite que crackers invadam o smartphone e acessem os tokens mesmo se não houver transferências de informação e sem estar utilizando uma conexão de rede não-segura.

Segundo os pesquisadores, este tipo de ataque é similar ao conhecido “Sidejacking”, que rouba os cookies das sessões dos websites e era o mesmo identificado nos ataques que ocorreram no plugin Firesheep, que expunha os dados pessoais dos usuários do Firefox.

Para não cair em golpes, os pesquisadores sugerem que os usuários evitem utilizar redes abertas e para desativar a sincronização automática dos aplicativos. Quando aplicações utilizam a sincronização automática do authToken em uma rede aberta, eles permitem que o usuário fique vulnerável para qualquer pessoa.

Para os desenvolvedores, os pesquisadores sugerem que utilizem sempre conexões seguras HTTPS e usem autenticações Auth em vez de authToken e que diminuam o tempo que esses logs ficam armazenados no aparelho.

Leia mais »»

Windows 8 deve usar sistema de reconhecimento facial

Após o vazamento do Milestone 1 do Windows 8, diversas especulações começaram a surgir a respeito do funcionamento do novo sistema. O que surpreende agora é a informação de que alguns hackers teriam encontrado uma API destinada exclusivamente a suportar o reconhecimento facial pelo Windows.
Com isso, o antigo sistema de login poderia ser substituído apenas pela autenticação automática. Ou seja, ao se aproximar de seu computador, não seria mais necessário digitar seu nome de usuário e senha, já que o próprio Windows saberá diferenciar cada usuário previamente cadastrado.
Apesar de serem apenas rumores, não há motivos para acreditar que o reconhecimento facial não esteja entre os planos da gigante dos softwares, já que ele já pode ser visto em pleno funcionamento dentro do Kinect.

Leia mais »»