Airdroid-app sårbar over for 'mand-i-midten-angreb' [opdatering: fast og forbedret]

Opdatering 9. december: Betty Chen, CMO for AirDroid har nået Android Central med det nyeste om holdets arbejde med at løse sårbarheden. Se svaret nedenfor:

Vi har netop afsluttet den iscenesatte udrulning af AirDroid (Mobile 4.0.0.3; Mac / Win 3.3.5.3) i Google Play Store, det er nu tilgængeligt for alle brugere. I denne opdatering har vi forbedret vores krypteringsmekanisme som planlagt og rettet problemet vedrørende den nylige bekymring over AirDroid's sikkerhed.

Problemet er løst i opdateringen.

Sammen med andre sikkerhedsforbedringer har vi opgraderet kommunikationskanalerne til https og forbedret krypteringsmetoden.

På grund af AirDroid's tværplatformede karakter, tog det os en gang at designe en tilpasset løsning og udjævne vores sikkerhed i alle aspekter. Vi introducerede omstrukturerings kodningssystemet i AirDroid4.0 og AirDroid 4.0.0.1 for at sikre, at kompatibiliteten fungerer fint på tværs af platforme sent i november. Efter en omhyggelig vurdering begyndte vi at udrulle denne opdatering delvis tidligere i denne måned på tværs af klienter for at sikre, at en jævn kommunikation udføres godt. Nu kan vi endelig frigive denne opdatering fuldt ud for at løse det rejste problem samt sikre, at vores brugere er bedre beskyttet.

Undersøgelser fra sikkerhedsfirmaet Zimperium har vist, at den populære fjernadministrations-app AirDroid er sårbar over for såkaldte "man-n-the-middle" -angreb, hvilket efterlader brugernes telefoner åbne for datatyveri eller i værste fald kompromitterer enheden gennem en kapret opdater fil.

Ifølge Zimperium kunne en angriber på det samme netværk som det påtænkte offer opfange autentificeringsdata og efterligne brugeren og lade personlige data - såsom SMS, opkald, underretninger eller kontaktoplysninger - blive udsat for.

Mest alvorligt kan den mekanisme, hvorpå appen opdateres, også kapres på samme måde, idet AirDroid-brugere udsættes for, at deres enhed er kompromitteret af en ondsindet APK-fil. Sikkerhedsfirmaet har et fuldt bevis for koncept på sit websted sammen med detaljer om, hvordan det afslørede sårbarhederne til udvikleren Sand Studio, der starter i maj 2016.

Zimperium siger, at den for nylig frigivne AirDroid 4.0.0 og 4.0.1 forbliver sårbare over for den samme sårbarhed. Vi har kontaktet Sand Studio til kommentar, og vi vil opdatere dette indlæg med ethvert svar. I mellemtiden, hvis du er en sikkerhedsbevidst AirDroid-bruger, kan du tænke på at afinstallere, indtil en løsning er tilgængelig.

Du kan downloade den nyeste version af AirDroid til din Android-enhed her. Den seneste version af desktop-appen kan downloades fra AirDroid-webstedet. Hvis du er en hyppig bruger af AirDroid, vil du bestemt hente disse kritiske opdateringer så hurtigt som muligt.