Miui에서 발견 된 주요 보안 결함 : 타사 보안 응용 프로그램이 될 수 있습니다 ...

인터넷의 급속히 팽창하는 세계는 수많은 보안 취약점으로 인해 훼손되었으며 인도 기반의 eScan Antivirus는 MIUI 운영 체제를 실행하는 Xiaomi 장치에서 발견되는 여러 가지 보안 결함을 제안하는 보고서를 발표했습니다.

샤오 미 (Xiaomi)는 13 %의 시장 점유율로 현재 중국 다음으로 세계에서 두 번째로 큰 스마트 폰 시장 인 인도 최고의 스마트 폰 브랜드 중 하나입니다.

eScan에 의한 연구는 MIUI OS의 여러 결함을 지적합니다. MIUI OS는 최종 사용자와 보안 응용 프로그램에 취약점을 도입 할 수 있습니다.

"MIUI의 앱 설치를 처리하는 시스템 앱은 보안 앱에 심각한 위협이되고 있습니다. MIUI에서는 암호가 없어도 이러한 응용 프로그램이 설치되지 않았지만 설치 해제시 이러한 응용 프로그램은 다른 모든 장치에서 암호를 묻는 것이 관찰되었습니다.

연구자들이 지적한 또 다른 중요한 보안 허점은 Mi Mover 앱이 한 장치에서 다른 장치로 데이터를 전송할 때 암호를 요구하지 않는다는 것입니다.

"보안 관점에서 볼 때, MIUI에서 구현 된 설치 해제 프로세스는 앱에 의해 구현 된 인증 프로세스가 우회되어 심각한 보안 위협을 초래합니다."라고 덧붙였다.

eScan에서 발견 된 보안 문제

eScan의 연구원은 Xiaomi의 MIUI 운영 체제에서 다음과 같은 문제점을 발견했습니다.

• MI-Mover 앱이 Android OS의 애플리케이션 샌드 박스를 무시합니다.
• 장치 관리자 권한을 취소하지 않고 모든 장치 관리자 앱을 제거 할 수 있습니다.
• MI-Mover가있는 Xiaomi는 장치를 근절시킬 필요없이 몇 분 안에 복제 할 수 있습니다.
• MIUI 장치를 삭제하는 대신 Work-Profile Admin 앱을 숨 깁니다.
• 엔터프라이즈 모빌리티 관리의 보안 관점에서 심각한 문제를 제기하는 작업 영역 프로필은 개인 프로필과 구별 될 수 없습니다.

GT는 보안 취약점을 너무 테스트했습니다.

이러한 모든 문제 중에서 가장 시급하고 널리 퍼진 문제는 보안 앱을 공격하는 취약점과 Mi Mover와 관련된 취약점입니다.

Xiaomi 대변인은 GuidingTech와의 인터뷰에서이 장치의 핀 / 패턴 / 지문 스캐너가 원치 않는 진입의 첫 장벽이며 연구에서 언급 된 취약점을 악용 한 사실을 지속적으로 강조하면서이 보안 장벽이 깨져야합니다.

보안 앱 테스트

먼저, 장치 관리자 권한이있는 앱을 해당 권한을 취소하지 않고 삭제할 수 있다는 보안 취약점을 테스트했습니다.

본질적으로 우리는 Xiaomi Mi Max 2 장치 및 비 Xiaomi 장치 (제어 장치로 작동)에 Cerberus Anti-theft 응용 프로그램을 설치했습니다. OnePlus 5 및 Samsung Galaxy J7 Max (모두 Android 7에서 실행 중) 장치에서 Cerebrus 앱을 제거 할 때 전화는 Cerberus 앱 비밀번호뿐만 아니라 시스템 비밀번호도 묻습니다.

그러나 우리가 Mi Max 2 장치에서 Cerberus를 제거하려고 시도했을 때, 응용 프로그램은 단순히 추가 입력을 묻지 않고 (암호 읽기) 제거되었습니다.

또한 읽기: 5 시도는 귀하의 안드로이드 패턴 잠금 균열에 걸립니다

Mi Mover Test

Xiaomi 대변인은 GuidingTech에 대한 성명서에서 Mi Mover를 장치에 사용하려면 암호가 필요하다고 언급했습니다.

그래서 우리는 2 개의 Xiaomi 장치 인 Mi Max 2와 Redmi 4A를 발견하고 지문과 패턴 잠금 장치를 설치하고 Mi Mover 기능을 확인했습니다. 놀라움에 (또는 아닙니다!) Mi Mover 앱은 비밀번호를 전혀 요구하지 않았습니다.

방금 누가 데이터를 보낼 것인지, 누구에게 데이터를 보내고 모든 시스템 또는 앱 데이터를 전송해야 하는지를 묻습니다. 그리고 Voila! Mi Mover 앱이 데이터 전송을 완료하기 전이나 후에 암호 입력없이 데이터 전송이 시작되었습니다.

이 취약점은 잠금 해제 된 Xiaomi 장치에 대한 액세스 권한을 가진 사람이 시스템 및 응용 프로그램 데이터를 포함하여 장치의 모든 내용을 쉽게 복제 할 수 있기 때문에 중요합니다.

Xiaomi는 첫 번째 보안 계층이 전화를 잠그고 있지만 잠금 해제 된 휴대 전화에서도 더 많은 피해를 피하기 위해 필요한 다른 Android 지침 (2FA 및 응용 프로그램 별 암호)이 있습니다.

Xiaomi가 말하는 것

Xiaomi에 대한 완전한 진술은 다음과 같습니다.

오늘 Escan은 MIUI의 우려 사항이 적은 보고서를 발표했습니다. Escan이 자신의 보고서에서 제기 한 주장에 대해 우리는 강력하게 동의하지 않습니다. 글로벌 인터넷 회사 인 Xiaomi는 장치 및 서비스가 개인 정보 취급 방침을 준수 할 수 있도록 가능한 모든 조치를 취합니다.

잠금 해제 된 전화에 물리적으로 액세스하는 가해자는 악의적 인 활동이 가능하며 잠금 해제 된 휴대 전화는 사용자 데이터가 도용 당할 위험이 있습니다.

이러한 이유로 Xiaomi는 PIN, 패턴 잠금 또는 대부분의 스마트 폰에서 사용할 수있는 온보드 지문 센서를 사용하여 사용자가 개인 데이터를 지키고 있음을 인식하도록 권장합니다. 사실 Xiaomi 스마트 폰을 처음 사용할 때 지문 잠금 기능을 사용하도록 설정하는 것이 표준 단계입니다.

Mi Mover는 사용자가 기존 스마트 폰의 데이터를 새 휴대 전화로 옮길 수있는 편리한 도구로 설계되었습니다. Mi Mover가이 프로세스를 시작하려면 암호가 필요합니다.

더 중요한 것은 Mi Mover를 사용하려면 스마트 폰을 잠금 해제해야합니다.

따라서 필요한 사용자 전화 잠금 및 Mi Mover 암호를 보호하는 두 가지 계층이 있습니다.