› نرم افزار درخواست › مزیت های نرم افزار › پیاده سازی شده بصورت تحت وب و بدون نیاز به نصب روی سیستم کاربر و یا امکانات خاص جهت اجرای نرم افزار
اخیرا مشخص شده است که گوشی‌های شیائومی دارای یک راه نفوذ مخفی در سیستمعامل خود هستند که به این کمپانی اجازه می‌دهد برنامه‌های دلخواه خود را بر روی آن نصب کند.
آیا صاحب یکگوشی اندرویدی از کمپانی‌هایسامسونگ،اچ‌تی‌سی، وان‌پلاس یا شیائومی هستید؟ اگر این گونه است احتمالا می‌دانید که اغلب کمپانی‌های تولیدکننده‌ی گوشی‌های هوشمند رام‌های اختصاصی خود را برای سیستمعامل اندروید توسعه می‌دهند. از جمله این رام‌های می‌توان به سایانوژن ماد، پارانوید اندروید و MIUI اشاره کرد که به همراه چند تم اختصاصی و تعدادیبرنامه برای بهبود عملکرد دستگاه بر روی گوشی‌های هوشمند کمپانی‌های سازنده از قبل نصب شده‌اند.
اما آیا تاکنون به برنامه‌ها و سرویس‌های مختلفی که ممکن است کمپانی سازنده‌ی گوشی هوشمند شمابه صورت پیش‌فرض بر روی گوشی شما نصب کرده باشدفکر کرده‌اید؟ هدف از نصب این برنامه‌ها چیست و آیا می‌توان آن‌ها را تهدیدی برای امنیت و حریم خصوصی خود به شمار آورد؟
یک دانشجوی علوم کامپیوتر هلندی علاقه‌مند بهمباحث امنیتی نیز که خود صاحب یک دستگاه شیائومی Mi4i است به دلیل همین کنجکاوی، به تلاش برای یافتن پاسخ این سوالات پرداخته و سعیکرده هدف نهایی یک برنامه‌های خاص و مرموز را که از ابتدا بر روی گوشی هوشمندش نصب بوده است دریابد. این برنامه AnalyticsCore.apk نام داشته و به صورت ۲۴ ساعته در تمامی ۷ روز هفته در پس زمینه‌ی گوشی اجرا می‌شود. حتی اگر اقدام به حذف آن کنید باز هم سر و کله‌اش پیدا می‌شود!
شیائومی یکی از بزرگترین تولیدکنندگان گوشی‌های هوشمند در جهان است که پیش از این نیز به خاطر اقداماتی همچون دزدیدن داده‌های کاربران از دستگاه‌هایشان بدون کسب اجازه از آنان، گسترش بدافزارها، صادرات گوشی‌های هوشمند دارای تبلیغ‌افزارها و بدافزارهای از پیش نصب شده و استفاده از نسخه‌ی Forked سیستمعامل اندروید (نسخه‌ای که کدهای سورس آن از یک سیستم‌عاملگرفته شده اما تغییراتی غیرمجاز توسط کمپانی دیگری در آن ایجاد شده است و در نتیجه تبدیل به نرم‌افزاری جداگانه می‌گردد) مورد انتقاد قرار گرفته است.
شیائومی می‌تواند به صورت مخفیانههر برنامه‌ای را بر روی دستگاه شمانصب کند!
پس از پرسش از بخش پشتیبانی این کمپانی در مورد دلیل وجود برنامه‌ای با نام AnalyticsCore.apk به صورت پیش‌فرض بر روی گوشی و نگرفتن پاسخ، محقق مذکور به نام تیس برونینک با مهندسی معکوس کد مورد نظر متوجه شد که این برنامه به صورت دائم در ۲۴ ساعت، پیگیر دریافت به روزرسانی جدیدی از سرورهای کمپانیاست!
این برنامه در حین ارسال درخواست‌های خود، اطلاعات هویتی گوشی هوشمند شما از جمله IMEI، مدل و مک آدرس دستگاه را برای کمپانی ارسال می‌کند. اگر برنامه‌ی به روز شده‌ای در سرورهای کمپانی با نام Analytics.apk وجود داشته باشد، گوشی بدون اطلاع کاربر اقدام به دانلود و نصب آن می‌کند. برونینک در یک پست وبلاگ خود گفته است:
نتوانستم هیچ مدرکی در درون برنامه‌ی Analytics پیدا کنم، بنابراین حدس می‌زنم که برنامه‌ی سطح بالاتری از سوی شیائومی، مسئول اجرای عملیات نصب در پس زمینه باشد.
حال مساله این است که آیا گوشی هوشمند شما صحت و سلامت فایل apk مورد نظر را تایید کرده و اطمینان حاصل می‌کند که این برنامه، مربوط به تجزیه و تحلیل است؟ برونینک دریافت که هیچ گونه اعتبارسنجی برای بررسی این که چهفایل apk ی بر روی گوشی هوشمند کاربر نصب می‌شود وجود ندارد، و این به معنای وجود حفره‌ای خطرناک برای نفوذ هکرها است. مفهوم دیگر این رخنه این است که شیائومی می‌تواند بدون اطلاع کاربر، هر برنامه‌ی را تنها با انتخاب نام Analytics.apk برای آن و میزبانی آن بر روی سرور، بر روی گوشی هوشمند کاربرنصب کند. برونینک در ادامه می‌گوید:
به نظر می‌رسد که شیائومی می‌تواند هر بسته‌ی نرم‌افزاری مورد نظر خود را بدون اطلاع شما و تنها ظرف ۲۴ ساعت بر روی گوشی هوشمندتان نصب کند! اگربتوانید برنامه‌ی مورد نظر خود را با نام Analytics.apk در فهرست مورد نظر قرار داده و آن را از این طریق بر روی گوشی نصب کنید ماجرا جالب‌تر هم می‌شود!
هکرها نیز می‌توانند از این در پشتی استفاده کنند
از آن‌جا که محققان نتوانستند از طریق جستجو در گوگل یا بررسی سایت کمپانی، هدف نهایی برنامه‌ی AnalyticsCore را دریابند، هنوز نمی‌توان با قطعیت گفت که چرا شیائومی این راه مخفی و مرموز را بر روی میلیون‌ها گوشی هوشمند خود قرار داده است. می‌دانیمکه هیچ در مخفی وجود ندارد که تنها سازنده‌‌اشبه آن دسترسی داشته باشد. پس اگر هکرها یا سازمان‌های جاسوسی بتوانند نحوه‌ی ورود از این راه مخفی را یافته و تنها ظرف ۲۴ ساعت به صورت مخفیانه بدافزارهایی را به میلیون‌ها گوشی هوشمند در سراسر جهان وارد کنندچه خواهد شد؟
دستگاه به اینترنت متصل شده و به روز رسانی‌هایی را از طریق HTTP دریافت می‌کند و در این حین، کل فرایند را برای فردی که پشت حملات است افشا می‌کند. برونینک می‌گوید:
این ویژگی برای من یک آسیب‌پذیری امنیتی محسوب می‌شود. از آن‌جا که آن‌ها مدل و IMEI گوشی شما را دارند، می‌توانند هر برنامه‌ای را منحصرا بر روی گوشی شما نصب کنند.
حتی در انجمن شیائومی نیز شماری از کاربران نسبت به وجود چنین برنامه‌ای در گوشی‌های هوشمندشان ابراز نگرانی کرده‌اند. یکی از این کاربران می‌گوید: «نمی‌دانم این برنامه چه هدفی دارد، حتی پس از حذف شدن نیز مجددا سر و کله‌اش پیدا می‌شود!» یکی دیگر از کاربران می‌گوید:«با نگاهی به برنامه‌ی مصرف باتری دستگاه، می‌بینم که این اپ (AnalyticsCore) همواره در صدر فهرست مصرف انرژی قرار دارد. به نظر من این برنامهبه سرعت باتریدستگاه را مصرف می‌کند»
چگونه می‌توان نصب مخفی برنامه‌ها را لغو کرد؟
به عنوان یک راه حل موقتی، کاربران شیائومی می‌توانند فعلااز یک برنامه‌ی فایروال استفاده کرده و ارتباط خود را با دامنه‌های مرتبط با شیائومی قطع کنند. هنوز در انجمن این کمپانی، هیچ پاسخی از اعضای تیم شیائومی به سوالی که برونینک مطرح کرده است دیده نمی‌شود. در هر صورت اگر کاربر یکی از گوشی‌های شیائومی هستید و اخیرا متوجه مورد مشکوکی در دستگاه خود شده‌اید، پیگیر این ماجرا باشید.
بیانیه‌ی رسمی شیائومی
یکی از سخنگویان شیائومی، در پاسخ بهادعاهای مطرح شده توسط برونینک مبنی بر وجود راه نفوذی در سیستمعامل گوشی‌های این کمپانی که به هکرها و کمپانی شیائومی اجازه می‌دهد که هر گونه نرم‌افزاری را بر روی میلیون‌های دستگاه نصب کنند، بیانیه‌ای رسمی را در اختیاروبسایت thehackernews قرار داده است. در بخشی از این بیانیه گفته شده است:
AnalyticsCore یکی از اجزای سیستمی موجود در رام MIUI است کهتوسط بخش‌های مختلف MIUI برای تحلیل داده‌ها و با هدف بهبود تجربه‌ی کاربری مورد استفاده قرار می‌گیرد.درست همانند MIUI Error Analytics.
این کمپانی هنوز در مورددسترسی خود برای نصب هر گونه برنامه‌ای بر روی گوشی‌های هوشمند افراداز راه دور و بدون اطلاع کاربرانهیچ گونه سخنی نگفته است. سخنگوی شیائومی اعلام کرده است که هکرها قادر به بهره‌گیری از این ویژگی که مبتنی بر خودارتقایی است نخواهند بود.
در بیانیه‌ی مذکور گفته شده است:
برای سنجش امنیت، MIUI امضای اپلیکیشن Analytics.apk را در هنگام نصب یا ارتقا بررسی می‌کند و بدین ترتیب تنها برنامه‌ای که دارای امضای درست و مورد نظر باشد نصب می‌شود. هر فایل apk که فاقد امضای رسمی باشد، نصب نخواهد شد. از آن‌جا که AnalyticsCore کلیدی برای بهبود تجربه‌ی کاربری است، از ویژگی خودارتقایی نیز بهره می‌برد. از زمان ارائه‌ی MIUI V7.3 که در فروردین واردیبهشتماه منتشر شد، HTTPS فعال شد تا امنیت انتقال داده بالاتر رفته و از وقوع هرگونه حمله‌ی هکری با دخالت انسان جلوگیری به عمل آید.
شیائومی هنوز به این سوال که آیا این کمپانی توانایی نصب برنامه از راه دور و بدون اجازه‌ی کاربران بر روی گوشی‌های هوشمند افراد را دارد یا خیر پاسخی نداده است. نظر شما در مورد این موضوع چیست؟ آیا این دسترسی را رخنه‌ای امنیتی می‌دانید؟
منبع: زومیت