باگ امنیتی مرورگر پیشفرض اندروید، خطرناک برای حساب های فیسبوک

یک باگ امنیتی جدی در مرورگر پیشفرض سیستم عامل اندروید وجود دارد که به حمله کننده های آگاه اجازه می دهد با کمک آن، کنترل حساب کاربری فیسبوک قربانیان را به دست گیرند.

این ایراد که در Same Origin Policy یا SOP مرورگر پیشفرض اندروید وجود دارد، اولین بار در سپتامبر ۲۰۱۴ توسط یک محقق مستقل حوزه امنیت به نام Rafay Baloch کشف شد. او متوجه شد که در این مرورگر که بر روی اندروید های نسخه ۴٫۲٫۱ به پایین وجود دارد، باگی امنیتی در SOP اجازه می دهد سایت ها اطلاعات مورد استفاده سایر وبسایت ها را جمع آوری کنند.

متخصصان امنیتی در Trend micro در همکاری با فیسبوک، موارد متعددی از حملات اینترنتی به حساب های کاربری این شبکه اجتماعی کشف شد که دقیقا از طریق همین باگ امنیتی در مرورگر پیشفرض اندروید به انجام رسیده بودند.

SOP یا Same Origin Policy از اصول امنیت مرورگر است و برای پیشگیری از دسترسی کدها به اطلاعات خاص در صفحات وب ایجاد شده است. با کمک آن کدهای صفحات مختلف وب بدون اجازه کاربر و احراز هویت او نمی توانند به اطلاعات ذخیره شده در مرورگر دسترسی داشته باشند.

اما متاسفانه SOP در نسخه های قدیمی اندروید حاوی باگی است که به حمله کننده ها اجازه می دهد با کمک کدهای جاوااسکریپت به اطلاعات مرورگر قربانی دسترسی داشته باشند.

در این حمله خاص لینکی که در برخی صفحات فیسبوکی وجود دارد کاربران را به سمت سایتی مشکوک هدایت می کند. Simon Huang یک مهندس امنیتی موبایل در Trend micro در این باره در یک پست وبلاگی نوشته:

«صفحه مربوطه حاوی کدهایی نامعتبر است که یک آدرس خاص فیسبوک را در فریمی به سمت کاربر می فرستد. کاربر اما با بازکردن لینک مربوطه تنها یک صفحه سفید می بیند که در واقع چیزی به جز یک تگ div در آن نیست. فریم مذکور نیز تنها یک پیکسل اندازه دارد و کاربر حتی متوجه آن نمی شود.»

کد جاوااسکریپت به حمله کننده اجازه می دهد که اعمال زیادی را درخواست دهد و از این طریق خود را صاحب اصلی حساب کاربری فیسبوک قربانی جا بزند. بر اساس گفته یک محقق هکرها از این طریق تقریبا امکان انجام هر کاری را در حساب قربانی دارند. برخی از آنها عبارتند از: اضافه کردن دوستان جدید، لایک کردن و دنبال کردن صفحات فیسبوک، پیگیری و تغییر اشتراک ها، لاگین در سرویس ها و اپلیکیشن ها از طریق فیسبوک و دسترسی به تصویر پروفایل، لیست دوستان، تاریخ تولد و سایر موارد، دزدی کدهای تولید شده فیسبوک برای دسترسی به سایر اپ ها و جمع آوری اطلاعات آماری کاربر.

تمامی ابزارهای اندرویدی زیر اندروید ۴٫۴ کیت کت نسبت به این باگ SOP آسیب پذیر هستند. البته گوگل در ماه سپتامبر در قالب یک پچ امنیتی این باگ را مرتفع کرده اما کماکان میلیون ها ابزار اندرویدی نسبت به آن آسیب پذیرند. عدم ارسال به روز رسانی مربوطه به ابزارهای تولید شده سایر شرکت ها و البته عدم پشتیبانی ابزار مربوطه از آپدیت های بیشتر، دلیل این مساله است.

نکته مثبت اما اینجاست که باگ SOP تنها در مرورگر پیشفرض این ابزارها وجود دارد. هر چند که امکان پاکسازی این مرورگر وجود ندارد اما می توانید آن را غیرفعال کنید. برای این کار از طریق بخش تنظیمات ابزار اندرویدی خود به Apps و سپس تب All مراجعه کنید و در لیست مربوطه مرورگر پیشفرض را بیابید. سپس بر روی آن تپ کرده و در صفحه بعد بر روی کلید DISABLE تپ کنید. بدین ترتیب مرورگر مربوطه غیرفعال خواهد شد.

با توجه به وجود این باگ، جهت مرور امن وب می توانید از مرورگرهای گوگل کروم، دلفین، فایرفاکس یا مرورگر سبک CM Browser بر روی ابزار اندرویدی خود استفاده کنید.