Theo các nhà nghiên cứu, việc Android dễ bị tấn công bắt nguồn từ một lỗ hổng trong giao thức xác thực ClientLogin. Giao thức này được sử dụng trong phiên bản Android 2.3.3 và các phiên bản cũ hơn, theo The Register. Một khi người dùng trình thông tin đăng nhập của họ, ClientLogin nhận được một yêu cầu xác thực ứng dụng (authToken) được gửi đến như một file cleartext. Bởi vì authToken có thể được sử dụng nhiều lần trong vòng 14 ngày nên tin tặc có thể đăng nhập thông tin được lưu trữ trên file này và sử dụng nó cho những mưu đồ bất chính.

“Chúng tôi muốn biết liệu nó có thực sự có thể khởi động một cuộc tấn công mạo danh vào các dịch vụ Google, do đó chúng tôi đã tiến hành các phân tích của mình”, các nhà nghiên cứu viết “Câu trả lời ngắn gọn là: Có, điều đó có thể xảy ra và khá dễ dàng để làm vậy. Hơn nữa, cuộc tấn công không giới hạn với Google Calendar và Contacts. Theo lý thuyết, tất cả các dịch vụ của Google đang sử dụng giao thức xác thực ClientLogin để truy cập vào dữ liệu các dịch vụ API.

Kiểu tấn công này chỉ có thể được tiến hành khi điện thoại Android sử dụng một mạng không đảm bảo như điểm truy cập Wi-Fi để gửi dữ liệu. Các nhà nghiên cứu cho biết tin tặc có thể thực hiện một cuộc tấn công như vậy khi một thiết bị được kết nối với một mạng nằm dưới sự kiểm soát của chúng.

“Để thu thập những authToken trên một quy mô lớn, tin tặc có thể thiết lập một điểm truy cập Wi-Fi với một SSID thông thường của một mạng không dây không được mã hóa. Với các cài đặt mặc định, điện thoại Android sẽ tự động kết nối với một mạng được biết đến từ trước và nhiều ứng dụng sẽ cố gắng đồng bộ ngay lập tức. Khi việc đồng bộ hóa bị thất bại, tin tặc sẽ chiếm lấy authToken cho mỗi dịch vụ đã cố gắng đồng bộ hóa”.

Các nhà nghiên cứu của Đức đã đưa ra một số phương pháp để giải quyết vấn đề này cho các nhà phát triển ứng dụng, Google cũng như người dùng Android. Theo đó, các nhà phát triển có các ứng dụng sử dụng giao thức ClientLogin “nên lập tức chuyển sang HTTP”. Google nên hạn chế thời gian tồn tại của các authToken và từ chối đăng nhập ClientLogin dựa trên các kết nối không an toàn. Các nhà nghiên cứu khuyên người dùng Android nên update điện thoại của họ lên 2.3.4 càng sớm càng tốt cũng như tắt đồng bộ hóa tự động khi kết nối với mạng Wi-Fi hoặc tránh kết nối với những mạng Wi-Fi không bảo đảm.

Theo Võ Hiền (Dân trí / Digitaltrends)