Frage:
Global lesbare private Schlüssel in Speicher / emuliert / 0 / Daten gefunden - Mögliches Sicherheitsrisiko?
user144834
2016-01-06 00:47:07 UTC
view on stackexchange narkive permalink

Ich habe in /storage/emulated/0/data/IMS:

cert.pem

private_key.pem

Ich habe mit meinem Dateimanager / Texteditor vollen Zugriff auf diese Dateien, daher denke ich, dass jede andere App auch vollen Zugriff haben wird! Es scheint sich um ein Datenschutz- / Sicherheitsproblem zu handeln.

Informationen:

Cert.pem Zeile 6: "Aussteller: CN = Samsung RCS Client"

(Wikipedia: RCS = "Rich Communication Services") Ich habe private_key.pem in ein anderes Verzeichnis verschoben. Es wurde durch ein neues private_key.pem ersetzt Datei.

Ist dies ein mögliches Sicherheitsrisiko?

Herzlichen Glückwunsch zu Ihrem Fund! Und was ist nun deine Frage? :) :)
Danke für deine Antwort. Haben wir kein neues Sicherheitsproblem, wenn eine App diese Dateien lesen oder ändern kann?
Ich bin mir nicht sicher, wer "wir" sind. Der Punkt ist vom Standort aus, der zu "einer App" gehört (und nicht zum System). Abgesehen davon ist es etwas Samsung-spezifisches. Und es gibt nichts, was "wir" dagegen tun können. Vielleicht solltest du es dem Entwickler der zugehörigen App melden? "IMS", was auch immer das ist?
Wollen Sie damit sagen, dass Sie einen privaten Samsung-Schlüssel haben? kann ich eine Kopie haben?
sieht aus wie es mit einem Messenger-Client verbunden ist?
Ich meine alle Samsung (oder möglicherweise einen anderen Hersteller?) Android-Smartphone-Benutzer.
@moonbutt74: Natürlich nicht!
Ich denke, IMS bedeutet Instant Messaging Service.
@Izzy: Es könnte ein Problem für jeden Android-Benutzer sein.
Aber wir können hier nichts lösen. Nur die Entwickler der zugehörigen App können.
Einer antworten:
derobert
2016-01-08 00:21:23 UTC
view on stackexchange narkive permalink

Ein global lesbarer privater Schlüssel ist mit ziemlicher Sicherheit eine Sicherheitsanfälligkeit. Ein global lesbares Zertifikat ist in der Regel nicht. Sie scheinen beides zu haben, sodass Sie sehr wahrscheinlich eine Sicherheitsanfälligkeit gefunden haben.

Ihr nächster Schritt wäre, sie entweder dem Anbieter (wahrscheinlich Samsung) zu melden oder einen Sicherheitsforscher zu finden, der weitere Untersuchungen durchführen kann.

Laut einem Blog-Beitrag können Sicherheitsprobleme von Samsung Mobile an mobile.security@samsung.com gesendet werden. Theoretisch sollte diese E-Mail von jemandem besetzt sein, der sich mit Sicherheit auskennt (im Gegensatz zum First-Tier-Kundensupport), damit Sie eine angemessene Antwort erhalten. Wenn Sie sie kontaktieren, sollten Sie sie über diese Frage informieren, damit sie feststellen, dass sie bereits veröffentlicht wurde.



ⓘ
Diese Fragen und Antworten wurden automatisch aus der englischen Sprache übersetzt.Der ursprüngliche Inhalt ist auf stackexchange verfügbar. Wir danken ihm für die cc by-sa 3.0-Lizenz, unter der er vertrieben wird.
Loading...