Уязвимость, позволяющая без ведома пользователя отслеживать его сетевую активность, залатают в Android P.
В Android P будет решена существовавшая много лет проблема безопасности, позволяющая приложениям отслеживать сетевую активность пользователей, сообщают пользователи форум XDA.
В комьюнити AOSP появилась информация о внесении изменений в правила режима SELinux, которые предусматривают ограничение доступа к директории /proc/net для приложений, начиная с Android P. Папка содержит критически важные данные уровня ядра системы, позволяющие анализировать информацию о сетевой активности устройства, не получая доступа к контенту.
К примеру, отмечают разработчики, любое приложение может выявить, какие именно процессы подключаются к сети и когда они это делают, без ведома пользователей. Хотя программам недоступно содержимое, передаваемое через сеть, они все еще могут сканировать входящий или исходящий TCP/IP-трафик.
Помимо возможных сценариев эксплуатации данного изъяна вредоносными программами, существует вероятность, что множество легитимных приложений (например, Twitter или Facebook) могут таким образом отслеживать сетевую активность пользователей.
Кроме того, по утверждениям разработчиков, существует ряд официально доступных на Google Play программ, позволяющих отслеживать, когда пользователь использует «нежелательные» приложения.
Изменения в SELinux в Android P оставляют возможность доступа к некоторым файлам в директории только ряду VPN-приложений, в то время как другие программы должны будут пройти дополнительную проверку системы на наличие соответствующих разрешений.
Чтобы снизить вероятность проблем совместимости, нововведения в SELinux будут внедряться постепенно и сначала коснутся приложений, ориентированных на уровень API 28 в Android P, что означает, что уязвимость просуществует до 2019 года.
Ранее Google объявила о других важных усовершенствованиях Android в плане безопасности: так, в Android P по умолчанию будет использоваться протокол TLS, который блокирует попытки несанкционированного просмотра пакетов в клиент-серверных приложениях и исключает возможность ослабления алгоритма шифрования. Все приложения, пока не использующие TLS, должны перейти на новый протокол.