أندرويد للعرب

نشرت شركة Rapid7 المتخصصة بتطوير أدوات الأمن الرقمي، والمطوّرة لأداة Metasploit الشهيرة، تقريرًا اتّهمت فيه شركة غوغل بتعريض الملايين من مُستخدمي أندرويد للخطر، وذلك بسبب توقّفها عن إرسال التحديثات الأمنية لأداة WebView للأجهزة العاملة بإصدار أندرويد 4.3 وما دون.

أداة WebView هي العنصر البرمجي الذي يُتيح لمطوُري التطبيقات إظهار صفحات الويب ضمن تطبيقاتهم دون الحاجة لفتحها في مُتصفّح خارجي. بعض التطبيقات مبنية بشكّل كامل اعتمادًا على WebView وبعضها يستخدم هذا العُنصر ضمن أجزاء مُعيّنة فقط في التطبيق.

بحسب التقرير، فإن غوغل توقّفت عن إصلاح الثغرات الأمنية في WebView وذلك لإصدارات أندرويد 4.3 (جيلي بين) وما قبل، بعد أن استغنت نهائيًا عن WebView منذ الإصدار 4.4 (كيت كات) واستبدلت به نسخة جديدة من WebView مبنية على “كروم”.

المشكلة الأولى كما يذكر التقرير هي أن غوغل توقفت عن تحديث WebView من الناحية الأمنية بهدوء ودون إشعار مُسبق، والمشكلة الثانية هي أن الشركة تُبرر ذلك بأنها لا تقوم بتحديث الإصدارات القديمة، حيث صدرت نسختين جديدتين مُنذ أندرويد 4.3. ورغم أن هذا صحيح، وبأن أندرويد 4.3 وما قبله أصبحت نسخ قديمة بالفعل، لكنها إصدارات ما زالت مُستخدمة بشكل واسع في هواتف أندرويد. وتُقدّر الدراسة وجود حوالي 930 مليون هاتف أندرويد خارج الدعم الأمني من غوغل.

وبحسب Rapid7 فإن WebView يحتوي على العديد من الثغرات الأمنية التي يُمكن أن يستغلّها المُخترقون للعبث بأجهزة المُستخدمين وسرقة معلوماتهم وبياناتهم، منها ما أصبحت ثغرات معروفة بالفعل، حتى أن الشركة قامت بتوفيرها ضمن أداة Metasploit التي تطوّرها، والتي يستخدمها كل من الخبراء الأمنيين والقراصنة على حدٍ سواء.

عندما حاولت Rapid7 التواصل مع غوغل حول هذه المسألة، كان جواب الشركة بأن أندرويد مفتوح المصدر، وبأن غوغل تُرحّب بالإصلاحات الخاصة بالثغرات الأمنية التي يُرسلها المطوّرون والخبراء كي تقوم بإضافتها إلى أندرويد وإعلام شركائها (مثل سامسونج وإل جي مثلًا) من أجل تحديث هواتفهم لسد هذه الثغرات الأمنية، إلّا أن غوغل نفسها توقفت تمامًا عن دعم النسخ السابقة لأندرويد 4.4. وبحسب Rapid7 فإن سياسة الاعتماد على مجتمع المصدر المفتوح لحل الثغرات وإرسالها لغوغل قد لا تكون فعّالة بما فيه الكفاية.

لكن ريثما ننتظر ردًا من غوغل حول هذه المسألة، وقبل أن يفزع مستخدمو أندرويد خوفًا، من الجيد أن تعلم بأن هذه الثغرة لن تؤثر على جهازك إلّا في حال استخدامك لتطبيقات خبيثة، أو تم خداعك للضغط على روابط خبيثة أثناء استخدامك إمّا لمُتصفح قديم على أندرويد أو ضمن تطبيق يعتمد على WebView.

يُمكن أن تبقى آمنًا من هذا الخطر (وغيره من الأخطار الأمنية) من خلال خطوات بسيطة كتحميلك للتطبيقات من خلال المصادر الموثوقة (مثل متجر غوغل بلاي) وابتعادك عن التطبيقات التي يبدو مشكوكًا بأمرها والتطبيقات المُقرصنة أو التطبيقات التي تعدك بالحصول على المحتويات المدفوعة بشكل مجّاني. بالتأكيد في حال كان هاتفك يعمل بأندرويد 4.4 (كيت كات) وما فوق، فأنت غير مُعرّض أساسًا لثغرة WebKit.

سنقوم بمتابعة مُستجدات هذا الموضوع في حال قيام غوغل بإدلاء أي رد أو تصريح.

[Rapid7]

The post اتّهامات لغوغل بتعريض ملايين مُستخدمي أندرويد للخطر appeared first on أندرويد بالعربي | أردرويد.