EN
قامت شركة جوجل Google الأمريكية، خلال الشهر الماضي، بإصدار تحديث جديد لإصلاح أحد أخطاء نظام التشغيل Android، والتي يمكن أن تسمح للمتسللين أن يسرق البيانات الحساسة للمستخدمين عن طريق نشر البرامج الضارة إلى هاتف قريب عبر ميزة غير معروفة بالنظام تسمى NFC beaming.
وبحسب ما ذكره موقع "zdnet" التقني، تعمل ميزة NFC beaming عبر خدمة Android OSداخلية تعرف باسم Android Beam، وتتيح هذه الخدمة لأجهزة أندرويد إرسال بيانات مثل الصور أو الملفات أو مقاطع الفيديو أو حتى التطبيقات إلى جهاز آخر قريب يستخدم موجات الراديو NFC (الاتصال بالحقل القريب)، كبديل للواي فاي أو خاصية Bluetooth.
وعادة يتم تخزين التطبيقات (أو ملفات APK) المرسلة عبر ميزة NFC beaming على القرص، ويظهر إشعار على الشاشة يسأل مالك الجهاز عما إذا كان يريد السماح لخدمة NFC بتثبيت تطبيق من مصدر غير معروف.
ولكن في يناير من هذا العام، اكتشف باحث أمني يدعي "Y.Shafranovich"، أن التطبيقات المرسلة عبر NFC على أندرويد أوريو 8 أو الإصدارات الأحدث لن تظهر هذا الإشعار، بدلا من ذلك سيسمح الإشعار للمستخدم بتثبيت التطبيق بنقرة واحدة دون أي تحذير أمان.
ويعد عدم وجودسؤال يبدو غير مهم،إلا أن هذه مشكلة رئيسية في نموذج أمان أندرويد، حيث لا يسمح لأجهزة أندرويد تثبيت التطبيقات من "مصادر غير معروفة"، من خارج متجر تطبيقات أندرويد جوجل بلاي بحيث يعتبر النظام هذه المصادر غير موثوق بها ولا يتم التحقق منه عبر أنظمة أمان جوجل.
وإذا أراد المستخدمون تثبيت تطبيق من خارج متجر Play، فيجب عليهم زيارة قسم "تثبيت التطبيقات من مصادر غير معروفة" في نظام التشغيل أندرويد الخاص بهم وتمكين الزر بجوار تلك الميزة.
وكان خيار "التثبيت من مصادر غير معروفة" إعدادًا مثبتًا على مستوى النظام حتي أندرويد 8، ولكن بدءًا منه أعادت جوجل تصميم هذه الآلية في إعداد قائم على التطبيق.
وفي إصدارات Android الحديثة، يمكن للمستخدمين زيارة قسم "تثبيت التطبيقات غير المعروفة" في إعدادات أمان النظام، والسماح للتطبيقات المحددة بتثبيت تطبيقات أخرى علي سبيل المثال، يسمح الإعداد لتطبيقات مثل كروم وDropbox لتثبيت تطبيقات آخرى دون أن يتم حظرها، علي غرار متجر Play.
ويكمن الخلل الذي يسمي CVE-2019-2114 في تطبيق Android Beam والذي يعتبر ضمن قائمة تطبيقات جوجل ويتلقى نفس مستوى الثقة كتطبيق رسمي،ولكن أزالت تحديثات للنظام في أكتوبر 2019 خدمة Android Beam من قائمة OS الموثوق بها.
وقالت شركة جوجل: "إن هذا لم يكن مقصودًا أن يحدث ، لأن خدمة Android Beam لم تكن تعني أبدًا وسيلة لتثبيت التطبيقات، ولكن كطريقة لنقل البيانات من جهاز إلى جهاز"، وقامت بإزالة تصحيحات خدمة Android Beam من قائمة التطبيقات الموثوق بها في شهر أكتوبر الماضي.
ومع ذلك، لا يزال العديد من ملايين المستخدمين في خطر، إذا كان لدى المستخدمين خدمة NFC وتم تمكين خدمة Android Beam ، فيمكن للمتسللون استغلال نقطة ضعف الخدمة وزرع برامج ضارة على هواتفهم.
ونظرًا لعدم وجود سؤال عن التثبيت من مصدر غير معروف، فإن النقر فوق الإشعار يبدأ تثبيت التطبيق الضار دون إذن، ويصبح هناك خطر من إساءة فهم العديد من المستخدمين للرسالة على أنها قادمة من متجر بلاي، وتثبيت التطبيق الضار، معتقدًا أنه تحديث.
وبما أن لا توجد مطالبة بالتثبيت من مصدر غير معروف، فإن النقر علي الاشعار يبدأ بتثبيت التطبيق الضار، وللحفاظ على أمان الجهاز، يمكن لأي مستخدم تعطيل كل من ميزة NFC وخدمة Android Beam، أو تحديث الهاتف لتلقي تحديثات الأمان لشهر أكتوبر 2019.
