Lỗ hổng đã hiện diện trên hệ điều hành Android trong suốt bốn năm qua cho phép tin tặc có thể sửa đổi bất kỳ ứng dụng hợp pháp nào và trở thành một chương trình gián điệp (trojan) để ăn cắp dữ liệu hoặc kiểm soát hệ điều hành, theo Computerword. Đây là kết quả nghiên cứu từ các chuyên gia đến từ công ty an ninh thiết bị di động Bluebox ở San Francisco, Mỹ. Những thông tin cụ thể hơn về lỗ hổng sẽ được công bố tại hội nghị bảo mật Black Hat USA diễn ra cuối tháng này.
Hầu hết các điện thoại Android đang dính lỗ hổng bảo mật nghiêm trọng.
Việc hệ điều hành dễ bị tổn thương đến như vậy bắt nguồn từ sự khác biệt trong cách ứng dụng Android được xác minh mã hóa. Kẻ tấn công có thể sửa đổi các gói ứng dụng (.apk) mà không làm phá vỡ mã hóa gốc ban đầu.
Khi một ứng dụng được cài đặt, một gói thông tin (sandbox) sẽ được tạo ra cho phép Android ghi lại thông tin mã hóa của ứng dụng. Tất cả các bản cập nhật tiếp theo cho ứng dụng cần phải phù hợp với thông tin mã hóa này để xác minh rằng phần mềm đến từ cùng một tác giả.
Đây là điều rất quan trọng với mô hình bảo mật trên Android. Nó cho phép các dữ liệu nhạy cảm được lưu trữ trong sandbox sẽ chỉ có thể truy cập được khi cài ứng dụng phiên bản mới hơn của cùng một tác giả đó. Tuy nhiên, với lỗ hổng trên Android hiện tại thì hacker có thể dễ dàng thêm mã độc hại vào các tập tin cài đặt mới .apk mà không hề làm thay đổi thông tin mã hóa ban đầu của ứng dụng khiến người dùng khó có thể đề phòng.
Lỗ hồng này được phát hiện tồn tại ít nhất từ hệ điều hành Android 1.6 có tên mã Donut. Điều này đồng nghĩa với việc rất nhiều thiết bị Android phát hành trong bốn năm qua bị ảnh hưởng. "Tùy thuộc vào loại ứng dụng, một hacker có thể khai thác lỗ hổng cho bất cứ điều gì từ hành vi trộm cắt dữ liệu để tạo ra một botnet di động", thông cáo của Bluebox cho biết.
"Điều nguy hiểm hơn là bạn có thể cập nhật tất cả các thành phần tập tin hệ thống nếu việc cập nhật có tập tin mã hóa giống như nền tảng đang sử dụng", Bluebox phân tích. Khi đó, tất cả dữ liệu, ứng dụng, tài khoản, mật khẩu và các mạng đều bị khai thác. Ngay cả việc cài đặt từ Google Play cũng không thực sự an toàn khi toàn bộ hệ thống đã bị mất quyền kiểm soát.
Giám đốc công nghệ của Bluebox, Jeff Forristal, cho biết Google đã thông báo về lỗ hổng này trong tháng 2 vừa qua cũng như chia sẻ thông tin với đối tác bao gồm cả thành viên của hiệp hội liên minh thiết bị cầm tay mở Open Handset Alliance. Các đối tác sản xuất điện thoại cũng được cho là đang lập kế hoạch phát hành bản cập nhật.
Jeff Forristal cũng xác nhận một thiết bị được sản xuất bởi bên thứ 3, Samsung Galaxy S4 đã được sửa chữa lỗi này. Google hiện cũng chưa đưa ra các bản vá lỗi cho thiết bị của mình nhưng công ty vândx đang tiếp tục phát triển.
Google từ chối bình luận về thông tin bảo mật nói trên trong khi Open Handset Alliance cũng có động thái tương tự.
