Android insecurity

Android (in)Security

Chi?

Eclipse Spark

Chi?

Eclipse SparkQuello di Parrot Security

Chi?

Eclipse SparkQuello di Parrot Security

Lorenzo Faletra, per mamma e papà












Android (in)SecurityMiley Cyrus [17] (!)Kristin Davis [7] (!)Nina Agdal [1] (!)Kelly Felthous [9]Courtney Love [1]Blake Lively [16]Tobie Percival [32]Olivia Munn [22]Vanna White [11]Adrianne Curry [130]Susan Slaughter [18]Aneesa Ferreira [48]Claudia Romani [6]Rachel McCord [11]Kara Eberle [4]Sophie Turner [14]Miesha Tate [15]Catherine Serre [9]Minerva Portillo [31]Heathyr Hoffman [30]Hannah Davis [16]May Andersen [47]Carolina Dieckmann [20]Han Sung Joo [4]Jennifer Lawrence [4]Laura Ramsey [1]Jenelle Evans [4]Renata Frisson [14]Addison Timlin [1]Megan Hauserman [1]Sarah Shahi [17]Lisa Kelly [14]

Rachel White [8]Khanyi Mbau [9]Mayra Suarez [4]Lara Bingle [7]Jessie Wallace [9]Melanie Laurent [6]Lacey Banghard [7]Leilani Dowding [11]Lindsey Duke [5]Madonna [9]Jessica Davies [25]Nikolina Pisek [2]Loui Batley [5]K. Michelle [1]Vida Guerra [21]Abby Elliot [2]Adrienne Bailon [3]Alaina Huffman [4]Alana Blanchard [20]Ali Michael [183]Alison Pill [1]Amanda Bynes [3]Amanda Fuller [4]Angi Miller [2]Anna Kendrick [28]AnnaLynne McCord[35]Ariana Grande [3]Ashley Benson [15]Ashley Blankenship [22]Ashley Greene [3]Aubrey Celand [1]Aubrey Plaza [6]

Avril Lavigne [41]Bar Rafaeli [3]Becca Tobin [8]Brianna Evigan [3]Brooke Burns [4]Candice Swanepoel [6]Cara Delevingne [4]Cara Maria Sobello [14]Carly Foukles [19]Carly Pope [17]Cassie Ventura [5]Cat Deely [8]Chloe Bennett [15]Chloe Dykstra [17]Christina Aguilera [3]Christina Hendricks [5]Daisy Lowe [18]Danica Patrick [3]Dawn Jaro [4]Demi Lovato [2]Ellie Kemper [1]Elodie Varlet [20]Emily Bett Rickards [2]Emily Browning [30]Emmy Rossum [8]Erin Cummins [112]Ferne Mccann [1]Hayden Panettiere [64]Hayley Williams [1]Heather Marks [4]Heather Morris [11]Hilary Duff [8]

Holly Erika Eriksson [12]Hope Solo [27]Ingrid Michaelson [5]Jennette McCurdy [10]Jessica Alba [4]Jessica Brown Findlay [10]Jill Scott [2]Joanna Krupa [15]Jordan Hinson [11]Joy Corrigan [10]Kaley Cuoco [46]Kat Dennings [5]Kate Micucci [1]Kaya Scodelario [29]Keke Palmer [6]Kelli Garner [9]Kelly Brook [34]Kim Kardashian [6]Kreayshawn [2]Kristen Bredehoeft [1]Lake Bell [36]Lauren O'Neil [28]Lauren Skaar [21]Lea Michelle [4]Leelee Sobieski [57]Leven Rambin [4]Lindsay Clubine [60]Lizzy Caplan [13]Lori Heuring [10]Marion Peru [73]Mary Elizabeth

Winstead [9]Melina Lezcano [6]Melina Perez [1]Melissa Benoist [10]Mellisa Clarke [11]Michalka Sisters [91]Michelle Trachtenberg [3]Milana Vayntrub [5]Nicola Peltz [5]Nikki Cox [8]Nina Dobrev [144]Paige Duke [3]Paige Duke [6]Paris Hilton [9]Renee Olstead [20]Rihanna [30]Robyn Bewersdorf [29]Sahara Ray [80]Salome Stevenin [22]Sarah Hyland [30]Sarah Schneider [2]Scarlett Johansson [2]Scarlett Johansson [9]Selena Gomez [1]Shanon McAnally [15]Shiri Appleby [1]Sofia Kasuli [57]Tenna Torres [3]Teresa Palmer [30]Uldouz Wallace [29]Vanessa Hudgens [26]Velvet Sky [1]

Victoria Justice [36]Wailana Geisen [70]Yvonne Strahovski [18]Zoe Kazan [42]

Android (in)SecurityMiley Cyrus [17] (!)Kristin Davis [7] (!)Nina Agdal [1] (!)Kelly Felthous [9]Courtney Love [1]Blake Lively [16]Tobie Percival [32]Olivia Munn [22]Vanna White [11]Adrianne Curry [130]Susan Slaughter [18]Aneesa Ferreira [48]Claudia Romani [6]Rachel McCord [11]Kara Eberle [4]Sophie Turner [14]Miesha Tate [15]Catherine Serre [9]Minerva Portillo [31]Heathyr Hoffman [30]Hannah Davis [16]May Andersen [47]Carolina Dieckmann [20]Han Sung Joo [4]Jennifer Lawrence [4]Laura Ramsey [1]Jenelle Evans [4]Renata Frisson [14]Addison Timlin [1]Megan Hauserman [1]Sarah Shahi [17]Lisa Kelly [14]

Rachel White [8]Khanyi Mbau [9]Mayra Suarez [4]Lara Bingle [7]Jessie Wallace [9]Melanie Laurent [6]Lacey Banghard [7]Leilani Dowding [11]Lindsey Duke [5]Madonna [9]Jessica Davies [25]Nikolina Pisek [2]Loui Batley [5]K. Michelle [1]Vida Guerra [21]Abby Elliot [2]Adrienne Bailon [3]Alaina Huffman [4]Alana Blanchard [20]Ali Michael [183]Alison Pill [1]Amanda Bynes [3]Amanda Fuller [4]Angi Miller [2]Anna Kendrick [28]AnnaLynne McCord[35]Ariana Grande [3]Ashley Benson [15]Ashley Blankenship [22]Ashley Greene [3]Aubrey Celand [1]Aubrey Plaza [6]

Avril Lavigne [41]Bar Rafaeli [3]Becca Tobin [8]Brianna Evigan [3]Brooke Burns [4]Candice Swanepoel [6]Cara Delevingne [4]Cara Maria Sobello [14]Carly Foukles [19]Carly Pope [17]Cassie Ventura [5]Cat Deely [8]Chloe Bennett [15]Chloe Dykstra [17]Christina Aguilera [3]Christina Hendricks [5]Daisy Lowe [18]Danica Patrick [3]Dawn Jaro [4]Demi Lovato [2]Ellie Kemper [1]Elodie Varlet [20]Emily Bett Rickards [2]Emily Browning [30]Emmy Rossum [8]Erin Cummins [112]Ferne Mccann [1]Hayden Panettiere [64]Hayley Williams [1]Heather Marks [4]Heather Morris [11]Hilary Duff [8]

Holly Erika Eriksson [12]Hope Solo [27]Ingrid Michaelson [5]Jennette McCurdy [10]Jessica Alba [4]Jessica Brown Findlay [10]Jill Scott [2]Joanna Krupa [15]Jordan Hinson [11]Joy Corrigan [10]Kaley Cuoco [46]Kat Dennings [5]Kate Micucci [1]Kaya Scodelario [29]Keke Palmer [6]Kelli Garner [9]Kelly Brook [34]Kim Kardashian [6]Kreayshawn [2]Kristen Bredehoeft [1]Lake Bell [36]Lauren O'Neil [28]Lauren Skaar [21]Lea Michelle [4]Leelee Sobieski [57]Leven Rambin [4]Lindsay Clubine [60]Lizzy Caplan [13]Lori Heuring [10]Marion Peru [73]Mary Elizabeth

Winstead [9]Melina Lezcano [6]Melina Perez [1]Melissa Benoist [10]Mellisa Clarke [11]Michalka Sisters [91]Michelle Trachtenberg [3]Milana Vayntrub [5]Nicola Peltz [5]Nikki Cox [8]Nina Dobrev [144]Paige Duke [3]Paige Duke [6]Paris Hilton [9]Renee Olstead [20]Rihanna [30]Robyn Bewersdorf [29]Sahara Ray [80]Salome Stevenin [22]Sarah Hyland [30]Sarah Schneider [2]Scarlett Johansson [2]Scarlett Johansson [9]Selena Gomez [1]Shanon McAnally [15]Shiri Appleby [1]Sofia Kasuli [57]Tenna Torres [3]Teresa Palmer [30]Uldouz Wallace [29]Vanessa Hudgens [26]Velvet Sky [1]

Victoria Justice [36]Wailana Geisen [70]Yvonne Strahovski [18]Zoe Kazan [42]

2915 foto

#TheFappening


#TheFappening


#TheFappening


#TheFappening


#TheFappening


#TheFappening


#TheFappening


#TheFappening


#TheFappening


Cosa significa sicurezza?


Sicurezza fisica e realenon sono la stessa cosa


Computer e cellulare sono simili


• Cpu multicore• 1Gb+ RAM DDR3• Grafica dedicata• Accesso ad internet• Applicazioni di terze parti

Computer e cellulare (non) sono simili



➔ Lo abbiamo SEMPRE con noi➔ Lo teniamo SEMPRE acceso➔ Lo lasciamo SEMPRE connesso➔ È dotato di ogni tipo di sensore!➔ Gestisce la nostra vita digitale

Computer e cellulare (non) sono simili



➔ Lo abbiamo SEMPRE con noi➔ Lo teniamo SEMPRE acceso➔ Lo lasciamo SEMPRE connesso➔ È dotato di ogni tipo di sensore!➔ Gestisce la nostra vita digitale

➔ Ogni tipo di informazione sensibile/compromettente prima o poi passa da lì

Android Security

Chi è il nemico?

Chi è il nemico?

Le applicazioni!

Le App sono in java ma non le esegue java

Le App sono in java ma non le esegue java

Java vs. Dalvik/ART

Java vs. Dalvik

Java vs. Dalvik

Dalvik non fa sandboxing

Java vs. Dalvik


E la sicurezza?

Java vs. Dalvik


E la sicurezza?

Ci pensa Linux

Android & Linux

Linux Android

Gestisce migliaia di utenti

Isola i processi (sandboxing(o quasi))

Isola le risorse (sistema di permessi)

Pensato per un solo utente

Si basa su Linux

Ad ogni applicazione viene assegnato un utente

Protezione del filesystem

/ e /system read-only

/data e /cache read-write

I files sono assegnati ai rispettivi utenti, e quindi alle rispettive applicazioni

Dal kernel si eredita la possibilità di gestire filesystem criptati (dm-crypt)

Cosa NON si può fare?


NON posso accedere ai files



NON posso accedere alla rete




NON posso (dis)installare/modificare applicazioni/risorse





NON posso usare componenti di altre app






NON posso accedere a SMS, Emails, Contatti e dati sensibili







NON posso accedere a fotocamera, microfono o altri sensori







NON posso accedere a fotocamera, microfono o altri sensori

Allora cos'è che posso fare?

Posso integrare e derivare e^x

Posso integrare e derivare e^x

Ma se uso troppo il processore vengo bloccato....

Posso accedere alle API


Ma anche no


Solo specificando quali


Solo specificando quali

E specificandolo prima dell'installazione

Ogni permesso ha

Nome

Gruppo

Livello(Normal, Dangerous, Signature, SignatureOrSystem)

Ogni permesso ha

Nome

Gruppo

Livello(Normal, Dangerous, Signature, SignatureOrSystem)

eclipse@android:/$ pm list permissions -s

mailto:eclipse@android

Manifest.xml

Manifest.xml

<uses-permission android:name=”string” />

Manifest.xml


L'anti-social network

Manifest.xml


L'anti-social network

<uses-permission android:name=”android.permission.ACCESS_FINE_LOCATION” /><uses-permission android:name=”android.permission.INTERNET” /><uses-permission android:name=”android.permission.VIBRATE” />

Prima minaccia

Accesso al sensore di orientamento

Accesso all'archivio interno

Accesso alla footcamera

Accesso alla rete

Accesso ad SMS e registro chiamate

Prima minaccia



Accesso alla footcamera

Accesso alla rete

Accesso ad SMS e registro chiamate

Seconda minaccia/data/system/packages.xml

Contiene i permessi concessi ad ogni apk installato

Terza minaccia



Accesso alla fotocamera

FrozenBussola.apk FrozenBrowser.apk

Accesso alla rete

Terza minaccia



Accesso alla fotocamera

FrozenBussola.apk FrozenBrowser.apk

Accesso alla rete

Stesso sviluppatore, stessa chiave, possibilmente stessi UID e GID

Privacy

Privacy

Il vostro smartphone sa dove siete

Privacy

Il vostro smartphone sa dove siete

Il vostro computer no

<iframe style=”visibility:hidden” onload=”alert('Belkin detected')” src=”http://192.168.2.1/setup.cgi?next_file=wls_chan.html”></iframe>

<iframe style=”visibility:hidden” onload=”alert('FIOS detected')” src=”http://192.168.1.1/index.cgi”></iframe>

<iframe style=”visibility:hidden” onload=”alert('D-Link detected')” src=”http://192.168.0.1/Advanced/Virtual_Server.shtml”></iframe>

XXXSS

http://192.168.2.1/setup.cgi?next_file=wls_chan.html

http://192.168.1.1/index.cgi

<iframe style=”visibility:hidden” onload=”alert('Belkin detected')” src=”http://192.168.2.1/setup.cgi?next_file=wls_chan.html”></iframe>

<iframe style=”visibility:hidden” onload=”alert('FIOS detected')” src=”http://192.168.1.1/index.cgi”></iframe>

<iframe style=”visibility:hidden” onload=”alert('D-Link detected')” src=”http://192.168.0.1/Advanced/Virtual_Server.shtml”></iframe>

XXXSS

http://192.168.2.1/setup.cgi?next_file=wls_chan.html

http://192.168.1.1/index.cgi

Privacy

Privacy

Privacy

Privacy

Jack Bauer style

Un momento....

Il mio telefono comunica con le celle

Ed ha anche il wifi

Ed anche il GPS

Altro che geolocalizzazione....

Altro che geolocalizzazione....

Ma non localizza solo me

Localizza anche chi mi sta intorno

Ma non localizza solo me

E la mia privacy?

Come difendersi?

Come difendersi?

Andando a vivere nel deserto

Come difendersi?


Tenendo il cellulare in modalità aerea a vita

Come difendersi?


Tenendo il cellulare in modalità aerea a vita

Cambiando approccio

Cambiare approccio

Se ti nascondi ti cercano

Cambiare approccio

L'assenza di un dato è evidenteQuanto la sua presenza

Cambiare approccio

Soluzione?

Spoofing

Soluzione?

Spoofing

Con un pizzico di umorismo

Spoofing

Spoofing

Spoofing

Spoofing

Spoofing

Spoofing

Con un pizzico di umorismo

GPG: 442CB088

Email: [email protected]

Twitter @EclipseSpark

Per insulti

mailto:[email protected]

Android insecurity

Engineering