Aby otrzymać wysoką nagrodę za znalezienie błędu bezpieczeństwa, nie zawsze wymagana jest fachowa wiedza. David Schütz wprawdzie należy do fachowców, ale 70 tys. dol. (ok. 322 tys. zł) zarobił dzięki konsumenckiej dociekliwości.
Kiedy zabezpieczasz telefon za pomocą kodu PIN lub biometrii, może wydawać się, że przechowywane w nim dane są całkowicie bezpieczne. Nawet jeśli urządzenie zgubisz, albo ktoś ci je po prostu ukradnie. Rzecz jasna, techniki łamania takiej blokady istnieją, ale zazwyczaj są one poza granicami możliwości zwykłego śmiertelnika.
David Schütz udowodnił jednak, że blokadę ekranu smartfonów z rodziny Google Pixel złamać można dość łatwo. Ba, na dobrą sprawę ciężko tu nawet mówić o jakimkolwiek hakowaniu, gdyż sprawę załatwia prosta sztuczka.
Oczywiście drugą kartę, obok tej już umieszczonej w pozyskanym telefonie. Jak ustalił specjalista, dzięki temu można zainicjować określony ciąg zdarzeń, z błędnym wpisywaniem poszczególnych kodów i podmianą kart SIM, który w konsekwencji doprowadzi do odblokowania telefonu przez potencjalnego napastnika.
Na początek – biometria. Jak wiadomo, trzykrotna błędna weryfikacja odcisku palca wymusi podanie kodu blokady ekranu. Wtedy jednak, rzeczonego kodu nie znając, trzeba podmienić kartę SIM. Jeśli ma ona ustawiony kod PIN, to smartfon priorytetowo zapyta właśnie o niego, a gdy celowo wielokrotnie poda się kod niepoprawny, wyskoczy monit o kod PUK.
Z powodu błędu w oprogramowaniu, co udowodnił fachowiec, zaraz po podaniu kodu PUK i ustaleniu nowego PIN-u Google Pixel automatycznie przyzna dostęp do zawartości. Bez potrzeby uwierzytelniania na poziomie blokady ekranu.
Co się stało? – zapytacie. Według Google, zawinił sposób, w jaki przechowywana była informacja o stanie systemu w pamięci RAM po niespodziewanej podmianie karty SIM. W każdym razie błąd został już naprawiony, a dociekliwy badacz za swoje odkrycie odebrał wspomnianą już nagrodę finansową.
Źródło zdjęć: Jack Skeens / Shutterstock
Źródło tekstu: YouTube (David Schutz), oprac. własne
