App Airdroid vulnerabile agli attacchi "man-in-the-middle" [aggiornamento: risolto e migliorato]

Aggiornamento, 9 dicembre: Betty Chen, CMO di AirDroid ha contattato Android Central con le ultime novità sul lavoro del team per correggere la vulnerabilità. Vedi la risposta qui sotto:

Abbiamo appena completato l'implementazione graduale di AirDroid (Mobile 4.0.0.3; Mac / Win 3.3.5.3) su Google Play Store, ora è disponibile per tutti gli utenti. In questo aggiornamento, abbiamo migliorato il nostro meccanismo di crittografia come previsto e risolto il problema relativo alla recente preoccupazione per la sicurezza di AirDroid.

Il problema è stato risolto nell'aggiornamento.

Insieme ad altri miglioramenti della sicurezza, abbiamo aggiornato i canali di comunicazione in https e migliorato il metodo di crittografia.

A causa della natura multipiattaforma di AirDroid, ci è voluto un po 'di tempo per progettare una soluzione personalizzata e aumentare la nostra sicurezza in tutti gli aspetti. Abbiamo introdotto il sistema di codifica di ristrutturazione in AirDroid4.0 e AirDroid 4.0.0.1 per assicurarci che la compatibilità funzioni bene su piattaforme alla fine di novembre. Dopo un'attenta valutazione, abbiamo iniziato a distribuire questo aggiornamento parzialmente all'inizio di questo mese tra i client per assicurarci che una comunicazione regolare venga eseguita correttamente. Ora possiamo finalmente rilasciare questo aggiornamento completamente per risolvere il problema sollevato e per garantire una migliore protezione dei nostri utenti.

Una ricerca della società di sicurezza Zimperium ha dimostrato che la popolare app di gestione remota AirDroid è vulnerabile ai cosiddetti attacchi "man-n-the-middle", lasciando i telefoni degli utenti aperti al furto di dati o, nel peggiore dei casi, al compromesso del dispositivo attraverso un dirottamento file di aggiornamento.

Secondo Zimperium, un utente malintenzionato sulla stessa rete della vittima designata potrebbe intercettare i dati di autenticazione e impersonare l'utente, consentendo l'esposizione di dati personali come SMS, chiamate, notifiche o dettagli di contatto.

Più seriamente, il meccanismo con cui l'app viene aggiornata potrebbe anche essere dirottato allo stesso modo, esponendo gli utenti AirDroid a compromettere l'intero dispositivo da un file APK dannoso. La società di sicurezza ha una prova completa del concetto sul suo sito, insieme ai dettagli su come ha rivelato le vulnerabilità allo sviluppatore Sand Studio, a partire da maggio 2016.

Zimperium afferma che AirDroid 4.0.0 e 4.0.1 rilasciati di recente rimangono vulnerabili alla stessa vulnerabilità. Abbiamo contattato Sand Studio per un commento e aggiorneremo questo post con qualsiasi risposta. Nel frattempo, se sei un utente AirDroid attento alla sicurezza, potresti voler pensare alla disinstallazione fino a quando non sarà disponibile una correzione.

Puoi scaricare l'ultima versione di AirDroid per il tuo dispositivo Android qui. L'ultima versione dell'app desktop può essere scaricata dal sito Web AirDroid. Se sei un utente frequente di AirDroid, ti consigliamo di scaricare questi aggiornamenti critici il prima possibile.