Proč by uživatelům Androidu mělo záležet na dynamickém načítání kódu

Když lidé používají aplikace pro Android, všechno, co se děje na pozadí, jim obvykle nenapadne. Bohužel možnost programování zvaná dynamické načítání kódu může představovat bezpečnostní rizika. Tady je to, co o tom potřebujete vědět.

Co je dynamické načítání kódu?

Ve vývoji aplikací tvoří celý zdrojový kód použitý při vytváření aplikace základnu kódu. Dynamické načítání kódu umožňuje aplikaci stahovat obsah mimo rámec jeho kódové základny a spouštět jej během provozu nebo za běhu.

Tato možnost může mít za následek menší velikost aplikace, protože běžnou praxí je ukládat kód na dálku místo jeho vložení do Android balíček (APK).

APK je formát souboru, který Android používá při distribuci a instalaci aplikací. Obsahuje všechny komponenty, aby aplikace fungovala na kompatibilním zařízení. Dynamické načítání kódu přináší výhody z hlediska vývoje, včetně těch, které zlepšují použitelnost aplikace.

Například aplikace může člověku zobrazit jiný obsah v závislosti na tom, zda používá bezplatnou nebo prémiovou verzi. Dynamické načítání kódu může zobrazit správný obsah podle úrovně uživatele, aniž by se zvětšila velikost souboru APK.

Dynamické načítání kódu navíc umožňuje vývojářům vydávat nové verze aplikací obsahující drobné změny. Uživatelé získají nejnovější verze bez nutnosti stahovat cokoli.

Navzdory těmto výhodám může dynamické načítání kódu zvýšit rizika související s bezpečností aplikací pro Android.

Škodlivé aplikace často obsahují dynamické načítání kódu

Autoři výzkumného článku z roku 2019 zkoumali škodlivé aplikace pro Android, aby zjistili jejich společné rysy. Citovali předchozí výzkum dokončený jinými stranami, který ukázal dynamické načítání kódu jako hlavní rys nebezpečných aplikací.

Téměř 20 000 z 86 798 aplikací v jedno vyšetřování měl dynamické načítání kódu.

Další objasnění naznačilo, že lidé vložili základní funkce nebezpečné aplikace do nezávislých knihoven a poté ji spustili pomocí dynamického načítání kódu. Tento přístup chrání škodlivé chování aplikace, takže je méně zjistitelná.

Dokumentace Google o typech malwaru, které detekuje, dokonce objasňuje, že zneužití dynamického kódu by mohlo být označeno jako odrůda backdoor. Společnost definuje malware backdoor jako provádění potenciálně škodlivých akcí na dálku na zařízení. Poté uvedla příklad dynamického načítání kódu umožňující aplikaci extrahovat textové zprávy.

Google však říká, že zkoumá, zda provádění kódu výslovně provádí škodlivé chování. Pokud ne, považuje společnost spuštění libovolného kódu za chybu zabezpečení, kterou může vývojář opravit.

V případech nebezpečných aplikací umožňuje libovolné spuštění kódu hackerovi vzdáleně provádět příkazy na cílovém zařízení.

Vědci zjistili problém s načítáním dynamického kódu

Google často podniká rozhodná opatření ke zvýšení bezpečnosti uživatelů. Například soubory cookie třetích stran sledují uživatele, ukládají jejich informace a později je používají k zobrazování cílených reklam. Společnost však bude blokovat soubory cookie třetích stran v prohlížeči Chrome do roku 2022. Neuvádí konkrétní datum změny.

Zaměření na bezpečnost však neznamená, že společnost nebude mít problémy. Vědci v oblasti kybernetické bezpečnosti zjistili v rámci systému trvalé provádění libovolného kódu Aplikace Google a nahlásil to společnosti. Problém byl opraven v květnu 2021, ale přiměl více lidí věnovat pozornost možným problémům spojeným s dynamickým načítáním kódu.

Vědci potvrdili, že tato chyba by umožnila útočníkovi spustit aplikaci pouze jednou, než ukradne data Google. Hacker by mohl zneužít chybu aplikace Google a vytáhnout knihovnu kódů z nebezpečné aplikace v zařízení osoby.

Odtamtud mohl počítačový zločinec získat přístup téměř ke všem datům Google dané osoby, včetně jejích e-mailů. Mohli dokonce aktivovat mikrofon, kameru uživatele a informace o poloze v reálném čase.

Věnujte pozornost varování o nebezpečných zranitelnostech aplikací

Protože dynamické načítání kódu probíhá na konci vývoje, průměrný uživatel aplikace s tím nemůže nic dělat ověřit, zda určitá nabídka může představovat skrytá nebezpečí související s tím, jak funguje v Pozadí. Je však moudré dávat pozor na všechny Zabezpečení aplikací pro Android novinky, které zasáhnou technologické titulky.

Výzkumníci v oblasti kybernetické bezpečnosti neustále hledají problémy, které by mohly ohrozit stovky tisíc uživatelů aplikací, a poté o nich podávat zprávy. Zůstat v povědomí o možných nebezpečích aplikací pomůže uživatelům rozhodnout se, zda a kdy aktualizovat nebo odstranit potenciálně problematickou aplikaci.

10 populárních aplikací pro Android, které byste NEMĚLI nainstalovat

Tyto aplikace pro Android jsou velmi populární, ale také ohrožují vaši bezpečnost a soukromí. Pokud je máte nainstalované, budete je po přečtení chtít odinstalovat.

Přečtěte si další

O autorovi