By: iDan 
on 13 April 2014 - 01:53
Tags:
Topics:
กูเกิลออกมากล่าวว่า อุปกรณ์ที่รัน Android ทุกเวอร์ชันจะไม่ได้รับผลกระทบจากบั๊ก Heartbleed ยกเว้น Android 4.1.1 ที่ออกในปี 2012 นั้นได้รับผลกระทบจริง และทางกูเกิลได้ทำการออกแพตช์ไปเป็นที่เรียบร้อยแล้ว ซึ่งขณะนี้อยู่ในระหว่างแจกจ่ายไปยัง Android Partner
Android เวอร์ชัน 4.1.1 นั้น เป็นเวอร์ชันที่ออกกลางปี 2012 เป็นช่วงเดียวกันที่ทาง OpenSSL ได้ออกเวอร์ชัน 1.0.1 ซึ่งมีความเป็นไปได้ว่า กูเกิลอาจจะนำไปใช้ ถ้าหากเป็นเช่นนี้จริง ก็ยังมีอุปกรณ์ Android ที่กำลังใช้งานกว่าล้านเครื่องบนสมาร์ทโฟนและแท็บเล็ตทั่วโลก ก็กำลังตกเป็นเป้าหมายของผู้ประสงค์ร้าย จากสถิติจากกูเกิลเอง ระบุไว้ว่า 34.4% ของอุปกรณ์ที่รันระบบปฏิบัติการ Andriod นั้นเป็นรุ่น 4.1.x และมีจำนวนน้อยกว่า 10% คือรุ่นที่กำลังใช้งานอยู่และได้รับผลกระทบ
จากที่เราได้รับทราบกันมาโดยตลอดอยู่แล้วว่า การปล่อยอัพเดตบน Android นั้นจะควบคุมโดยบริษัทผู้ผลิตอุปกรณ์นั้นๆ และเครือข่ายผู้ให้บริการมือถือ และเป็นที่น่าจับตามองว่าบริษัทเหล่านี้จะมีความรับผิดชอบมากแค่ไหน? แต่อย่างไรก็ตาม HTC One S มันรัน Android 4.1.1 นี่?
Get latest news from Blognone
Follow @twitterapi
Blognone Jobs Premium
Cloudnone
- Kubernetes คืออะไร [Part 1] เกิดขึ้นมาอย่างไร? ทำไมต้องใช้มัน? | Cloudnone EP.14
- CI/CD ยังไงดี ตั้งเซิร์ฟเวอร์เอง vs เช่าคลาวด์ | Cloudnone EP.13
- รู้จักโน้ตบุ๊กบนคลาวด์ เช่าใช้งาน Jupyter Notebook ที่ไหนดี | Cloudnone Ep.12
- สรุปข่าวใหญ่ปี 23 และคาดการณ์เทรนด์ปี 24 ในวงการ Cloud | Cloudnone EP.11
- สรุปของใหม่และสาระสำคัญจาก AWS re:Invent 2023 | Cloudnone Special EP
Comments
ไฟย่อมใหญ่ => ไฟหย่อมใหญ่ ??
ตัดทิ้งไปแล้วครับ
ผมอ่านข่าวนี้ไม่รู้เรื่องเลยครับ เนื้อข่าวน่าจะจบได้ภายใน 3-4 บรรทัดเท่านั้น ที่เหลือน้ำล้วนๆ
พอใช้ได้หรือยังครับ?
ยังไม่ได้ครับ ตัดเหลือครึ่งเดียวครับ อะไรซ้ำๆ กล่าวถึงทีเดียวพอ
เช่นตรงไหนบ้างครับ?
ผมว่าตั้งแต่ Bloomberg ... ไปจนสุดย่อหน้า แทบจะตัดทิ้งได้เลยเพราะมันคือการคาดเดา
แต่ย่อหน้าถัดไปกูเกิลออกมาแถลงว่ามีผลกระทบเฉพาะ 4.1.1
การคาดเดา??? แต่การคาดเดานั้นคือความจริง เพราะ fact มันอยู่ย่อหน้าที่ 2 ส่วนย่อหน้าที่ 3 คือการตั้งข้อสังเกตุ คือกูเกิลออกแพตช์แก้ให้ กูเกิลจบไม่รับผิดชอบปล่อยให้เป็นไปตามยถากรรม ผู้ผลิตจะปล่อยก็ได้ไม่ปล่อยก็ได้งั้นหรือครับ?? ผมว่ามันไม่เห็นแก่ตัว
สุดท้ายนี้ ถ้าจะให้แก้ตรงไหนก็บอกมาละกันครับ เมื่อคืนเห็นออกในทีวีช่อง bloomberg เลยส่างขี้ตามาพิมพ์ผิดๆ ถูกๆ ไม่ได้ใจความ ก็ขอโทษด้วยครับ แต่ตอนนี้แก้ให้บทความให้อย่างเป็นทางการแล้ว ก็ถือว่าเป็นหน้าที่ของกองบรรณธิการแล้วครับ เชิญยำได้เต็มที่... ผมจะกลับมาแก้ทุกๆ ต้นชั่วโมงครับ
งั้นก็ต้องถามว่า สารที่ต้องการจะสื่อคืออะไร "การคาดเดา" ของ Bloomberg ? หรือการที่กูเกิลออกมายอมรับว่า Android 4.1.1 ได้รับผลกระทบจาก Heartbleed ครับ?
อาจจะแรงไปนิด แต่ว่าส่วนตัวผม ผมว่าสาระสำคัญคือข้อหลัง ไม่ใช่ข้อแรก ครับ คือเอาจริงๆ คนใช้งานไม่สนใจหรอกว่าใครจะเจอ
หรือจะมองอีกมุมก็ได้ครับ คือบั๊กตัวนี้จริงๆ แล้วถูกค้นพบโดยคนสองคนพร้อมๆกัน มีใครจดจำได้บ้างไหมครับว่า ทั้งสองคนมาจากบริษัทอะไรกันบ้าง?
ตัดเรียบร้อยครับ เหลือ 3 บรรทัดบนหน้าหลัก ใช้ได้หรือยังครับ???
แก้ไขเรียบร้อย
ยังนึกเคสทีจะโจมตี client ไม่ออกเลย
+1
Since when were Android used as SSL server...
Russia is just nazi who accuse the others for being nazi.
someone once said : ผมก็ด่าของผมอยู่นะ :)
เข้าใจว่าไม่ใช่โดยตรงครับ น่าจะเป็นกรณีที่ update server ของผู้ผลิตใช้ OpenSSL แล้วข้อมูลหลุดไปกับ request ที่ส่งไป server ครับ
จริงๆ แล้วพวก Google Service มันก็ผูกกับ Android device แล้วก็มีการส่งข้อมูลแทบจะตลอดเวลานะครับ เอาแค่ check app update จาก Play Store ผมก็คิดว่าน่าจะเยอะแล้ว
ปล. แต่ยังงงๆ อยู่ดีนะ ผมว่าผมเดาถูกแค่บางส่วน เพราะมันยังมีเรื่องที่บอกว่า "มีผลกับ Android เวอร์ชัน 4.1.1" แสดงว่ามันต้องเป็นปัญหาฝั่ง client
Heartbleed เป็นบัคที่ทำให้อีกฝั่งสามารถอ่านข้อมูลใน RAM ได้หน่ะครับ ซึ่งโดยปกติข้อมูลฝั่ง client ก็จะไม่ค่อยมีอะไรอยู่แล้วคับ (ส่วนมากเป็นข้อมูลที่รับส่งกับตัว server เองกับ public key)
Heartbleed ไม่ใช่บัคที่ทำให้คนนอกเข้ามา hijack ทำตัวเป็น man in the middle ได้หน่ะครับ ถ้าจะ hack client จริงๆก็ต้องมาจากตัว server เอง request ข้อมูล(ซึ่งก็ไม่รู้ว่า server จะทำไปทำไม) อย่างกรณี Google Service ก็คงไม่เกิดกรณีที่ Google ตั้งใจใช้บัคในการ request ข้อมูลที่รับส่งกับ Google เองคับ
Heartbleed เลยกลายเป็นบัคแบบ server exclusive กลายๆเพราะเปิดให้ client สามารถอ่านข้อมูล(ที่รับส่งกับตัว client เอง) และ private key(ที่สำคัญมากๆ) ของตัว server ครับ
Russia is just nazi who accuse the others for being nazi.
someone once said : ผมก็ด่าของผมอยู่นะ :)
อันนั้นเข้าใจครับ ผมเขียนอะไรที่ทำให้เข้าใจว่าผมไม่เข้าใจหว่า ... งงมั้ย น่าจะงง ผมก็งง
วันก่อนมีคนทำรูปง่ายๆ มาให้อ่านพอดีครับ
งงเรื่อง Google Service ครับป้า -0-;
Russia is just nazi who accuse the others for being nazi.
someone once said : ผมก็ด่าของผมอยู่นะ :)
ฮ่าฮ่า ผมยิ่งอธิบายผมยังงงๆ เองเลยครับ
คือจะบอกอย่างนี้ ไอ้บั๊กนี่ผมเข้าใจว่ามันดึงข้อมูลจาก RAM บน server ซึ่งมีข้อมูลหลายอย่างปะปนอยู่นะครับ รวมไปถึง request จากทาง client ที่ส่งไปหา server ด้วย
แล้ว Google Service บน Android เวลาที่ส่ง request ไปยัง server (request ที่เป็น web request // ไม่ใช่ heartbeat signal) มันจะรวมทั้ง username, password, public key ไปยัง server ด้วยนะครับ
พอใช้ heartbleed แล้วมันจะดูดข้อมูลที่อาจจะรวม request จากพวก Google Service มาจาก Server ของ Google ด้วยครับ
ผมเข้าใจว่าข้อมูลใน RAM บน server นี่มันเก็บแบบกระจัดกระจายนะ แต่ยิ่งส่งบ่อย มันก็น่าจะมีโอกาสถูกดูดได้มากขึ้น แล้ว Google Service มันส่งข้อมูลอยู่ตลอดเวลาไงครับ
ผมเข้าใจอะไรผิดปล่าวหว่า ....
ปล. ผมพยายามหาข้อมูลแล้วนะว่ามันสัมพันธ์กันยังไง ระหว่าง Android กับ Heartbleed แต่ก็หาไม่เจอ ข่าวลอกกันมาทั้งดุ้นเกือบทุกเว็บเลย แต่เจอว่า Android เคยมีปัญหา master key ถูกหลอกได้ครับ
กรณี heartbleed นั้น ถ้า server โดน heartbleed ไม่ว่า client อะไรก็ไม่ต่างกันหน่ะครับป้า ไม่ว่า(client)จะใช้ OS อะไรก็ได้ผลเดียวกัน(1.client ไม่โดน server heartbleed ใส่ 2.server ก็ยังถูก exploit ได้อยู่) ไม่เกี่ยวกับว่าจะเกิดกับ Android 4.1.1 ที่มีบัคอย่างเดียวคับ
อย่าง client ที่เป็น MS/iOS/Mac OS ก็โดนหมด กล่าวง่ายๆคือไม่ว่า client จะมีบัคหรือไม่มีบัค ถ้า server โดนบัค heartbleed ข้อมูลต่างๆก็ไม่ปลอดภัยอยู่ดีคับ(Server Exclusive) ทั้งนี้ผมไม่แน่ใจว่าจะ request ข้อมูลนอกเหนือ session นั้นๆได้หรือเปล่า แต่ที่กลัวกันก็คือการที่ private key ถูกรู้ และเอาไปถอดรหัสข้อมูลต่างๆที่ติดต่อกับ server ครับ
ในกรณีนี้ผมกับคุณ lancaster ก็เลยสงสัยว่า ในกรณีที่ client มีบัคเนี่ย จะจู่โจม client แบบไหนได้บ้าง เพราะคำสั่ง request heartbeat ก็ต้องมาจากตัว server เอง(ซึ่งข้อมูลทั้งหมดของ client นั้นตัว server เองก็รู้อยู่แล้ว)
งงไหมหว่าคับป้า
ทางเดียวที่ผมนึกออกว่าตัว client มีบัคแล้วจะเสียหายก็คือในกรณีที่บัค heartbleed สามารถอ่านข้อมูลนอก session ได้ และตัว server ทำตัวเป็น rogue server และ collect ข้อมูลนอก session เสียเองครับ
งงไหมหว่าคับป้ารอบ 2
EDIT: เจอผลเสียในกรณีบัคเกิดบน client แล้วครับ ก็คือ server ทำตัวเป็น rogue server หน่ะแหละคับ
Russia is just nazi who accuse the others for being nazi.
someone once said : ผมก็ด่าของผมอยู่นะ :)
ผมนั่งหาข้อมูลอยู่ทั้งวันเลยไม่ได้เข้ามาตอบ แต่ได้อ่านตั้งแต่วันที่โพสต์แล้วนะครับ
ผมขอสรุปให้คนที่กำลังงงๆ หน่อยละกัน ง่ายๆ คือ heartbeat signal นั้นสามารถถูกส่งได้จากทั้ง 2 ฝั่งครับ และตั้งแต่ 4.1.1 ถอยหลังไปมันดันไม่ได้ปิด heartbeat นี่เอาไว้ (เปิดเป็น default)
ผมไล่เช็คดูหลายๆ เวอร์ชันแล้ว ดูที่นี่ เลือกเวอร์ชันแล้วคลิกที่ไฟล์ android-config.mk ถ้าในไฟล์มี -DOPENSSL_NO_HEARTBEATS แสดงว่ารุ่นนั้นปิด heartbeat เอาไว้
(พยายาม) อธิบายต่อ เนื่องจาก heartbeat ถูกส่งได้จากสองฝั่ง เมื่อเซิร์ฟเวอร์ request heartbeat มา Android client ก็จะตอบกลับไป คราวนี้ถ้า server เรียกมาที่ client โดยใช้ heartbleed bug ก็จะทำให้ขโมยข้อมูลใน RAM ได้ ซึ่งอาจมี private key, password etc. หลุดตามไปด้วย
ขอบคุณ @lancaster กับ @McKay มากๆ ครับ สงกรานต์นี้เลยมีอะไรทำหน่อย แหะๆ
กรณี Android เป็น Server ต่างๆ เช่นพวก http อย่าง airdroid ?
AirDroid เป็น non-secure หน่ะครับ
Russia is just nazi who accuse the others for being nazi.
someone once said : ผมก็ด่าของผมอยู่นะ :)