Tính năng bảo mật mới của Android 14: Quản trị viên CNTT hiện có thể vô hiệu hóa mạng 2G

Tính năng bảo mật mới của Android 14: Quản trị viên CNTT hiện có thể vô hiệu hóa mạng 2G

Google đã giới thiệu một tính năng bảo mật mới trong Android 14 cho phép quản trị viên CNTT tắt hỗ trợ mạng di động 2G trong nhóm thiết bị được quản lý của họ.

Gã khổng lồ tìm kiếm cho biết họ đang giới thiệu cài đặt người dùng thứ hai để tắt hỗ trợ, ở cấp độ mô hình, đối với các kết nối di động không được mã hóa.

Roger Piqueras Jover, Yomna Nasser và Sudhi Herle cho biết: “Mô hình bảo mật Android giả định rằng tất cả các mạng đều là thù địch để giữ an toàn cho người dùng khỏi việc tiêm gói mạng, giả mạo hoặc nghe lén lưu lượng truy cập của người dùng”.

"Android không dựa vào mã hóa lớp liên kết để giải quyết mô hình mối đe dọa này. Thay vào đó, Android thiết lập rằng tất cả lưu lượng truy cập mạng phải được mã hóa hai đầu (E2EE)."

Đặc biệt, mạng 2G sử dụng mã hóa yếu và thiếu xác thực lẫn nhau, khiến chúng dễ bị tấn công chặn qua mạng và giải mã lưu lượng bằng cách mạo danh một tháp 2G thực.

Mối đe dọa từ các trạm gốc di động lừa đảo có nghĩa là nó có thể được các tác nhân độc hại sử dụng để chặn lưu lượng liên lạc, phát tán phần mềm độc hại cũng như khởi động các cuộc tấn công từ chối dịch vụ (DoS) và kẻ thù trung gian (AitM), đặt ra mối lo ngại về giám sát.

Vào tháng 6 năm 2020, Tổ chức Ân xá Quốc tế tiết lộ cách một nhà báo Maroc trở thành mục tiêu của các cuộc tấn công tiêm nhiễm mạng, có khả năng sử dụng một tháp di động giả để phân phối phần mềm gián điệp Pegasus.

Tệ hơn nữa, kẻ thù có thể thực hiện một cuộc tấn công lén lút hạ cấp bằng cách sử dụng trình mô phỏng trang web di động tiên tiến (còn gọi là Stingrays) buộc thiết bị cầm tay phải kết nối với mạng 2G bằng cách lợi dụng thực tế là tất cả các thiết bị di động hiện có vẫn hỗ trợ băng tần 2G. .

Google, trong nỗ lực giải quyết một số mối lo ngại này, đã thêm tùy chọn tắt 2G ở cấp modem với Android 12 vào đầu năm 2022. Là một bước hợp lý tiếp theo, công ty hiện đang đưa ra một hạn chế mới nhằm ngăn cản khả năng của thiết bị. để hạ cấp xuống kết nối 2G.

Cũng được giải quyết trong bản phát hành sắp tới của hệ điều hành di động là nguy cơ mật mã rỗng (chế độ không được mã hóa hoặc GEA0) trong các mạng thương mại, khiến lưu lượng truy cập SMS và giọng nói của người dùng, bao gồm cả mật khẩu một lần (OTP) trở nên tầm thường trên mạng. -các cuộc tấn công đánh chặn ruồi.

Tiết lộ này được đưa ra khi Google cho biết họ đang bật E2EE cho các cuộc hội thoại RCS trong ứng dụng Tin nhắn dành cho Android theo mặc định cho người dùng mới và người dùng hiện tại, mặc dù công ty lưu ý rằng một số người dùng có thể được yêu cầu đồng ý với Điều khoản dịch vụ do mạng nhà cung cấp dịch vụ của họ cung cấp.

Nó cũng tuân theo kế hoạch bổ sung hỗ trợ cho Bảo mật lớp tin nhắn (MLS) vào ứng dụng Tin nhắn để có khả năng tương tác giữa các dịch vụ nhắn tin khác.

Trong khi Google đã cố gắng công khai gây áp lực buộc Apple phải áp dụng RCS, nhà sản xuất iPhone dường như hài lòng với iMessage về tính năng nhắn tin được mã hóa. Họ cũng không bày tỏ sự quan tâm đến việc phát hành phiên bản iMessage cho Android, buộc người dùng nhắn tin giữa hai hệ điều hành phải chuyển sang phương thức nhắn tin thay thế của bên thứ ba, hoặc tệ hơn là sử dụng SMS không được mã hóa.

Google, tại hội nghị bảo mật Black Hat USA vào ngày 9 tháng 8 năm 2023, đã trình bày chi tiết về một cuộc tấn công không cần nhấp chuột hiện đã được vá, ảnh hưởng đến ngăn xếp modem Pixel 6. Cuộc tấn công này có thể cho phép kẻ thù chiếm quyền điều khiển các thiết bị mục tiêu rơi vào phạm vi của một ô độc hại tháp từ xa như ba dặm chỉ bằng cách bắt đầu một cuộc gọi điện thoại.

Điều này bao gồm một cặp lỗ hổng nghiêm trọng được theo dõi là CVE-2022-20170 và CVE-2022-20405 (điểm CVSS: 9,8), có thể được kết hợp với nhau để hạ cấp giao tiếp modem di động của điện thoại Pixel xuống 2G và giành quyền kiểm soát thiết bị cầm tay bằng cách sử dụng một đài phát thanh phần mềm Các lỗ hổng đã được Google vá vào tháng 6 và tháng 8 năm 2022.

Hương – Theo TheHackerNews