on
กูเกิลออกมากล่าวว่า อุปกรณ์ที่รัน Android ทุกเวอร์ชันจะไม่ได้รับผลกระทบจากบั๊ก Heartbleed ยกเว้น Android 4.1.1 ที่ออกในปี 2012 นั้นได้รับผลกระทบจริง และทางกูเกิลได้ทำการออกแพตช์ไปเป็นที่เรียบร้อยแล้ว ซึ่งขณะนี้อยู่ในระหว่างแจกจ่ายไปยัง Android Partner
Android เวอร์ชัน 4.1.1 นั้น เป็นเวอร์ชันที่ออกกลางปี 2012 เป็นช่วงเดียวกันที่ทาง OpenSSL ได้ออกเวอร์ชัน 1.0.1 ซึ่งมีความเป็นไปได้ว่า กูเกิลอาจจะนำไปใช้ ถ้าหากเป็นเช่นนี้จริง ก็ยังมีอุปกรณ์ Android ที่กำลังใช้งานกว่าล้านเครื่องบนสมาร์ทโฟนและแท็บเล็ตทั่วโลก ก็กำลังตกเป็นเป้าหมายของผู้ประสงค์ร้าย จากสถิติจากกูเกิลเอง ระบุไว้ว่า 34.4% ของอุปกรณ์ที่รันระบบปฏิบัติการ Andriod นั้นเป็นรุ่น 4.1.x และมีจำนวนน้อยกว่า 10% คือรุ่นที่กำลังใช้งานอยู่และได้รับผลกระทบ
จากที่เราได้รับทราบกันมาโดยตลอดอยู่แล้วว่า การปล่อยอัพเดตบน Android นั้นจะควบคุมโดยบริษัทผู้ผลิตอุปกรณ์นั้นๆ และเครือข่ายผู้ให้บริการมือถือ และเป็นที่น่าจับตามองว่าบริษัทเหล่านี้จะมีความรับผิดชอบมากแค่ไหน? แต่อย่างไรก็ตาม HTC One S มันรัน Android 4.1.1 นี่?
แท็บเลต -> แท็บเล็ต;
nuntawat Sun, 13/04/2014 - 02:38
ไฟย่อมใหญ่ => ไฟหย่อมใหญ่ ??
hisoft Sun, 13/04/2014 - 03:17
In reply to แท็บเลต -> แท็บเล็ต; by nuntawat
ไฟย่อมใหญ่ => ไฟหย่อมใหญ่ ??
ตัดทิ้งไปแล้วครับ
iDan Sun, 13/04/2014 - 11:24
In reply to ไฟย่อมใหญ่ => ไฟหย่อมใหญ่ ?? by hisoft
ตัดทิ้งไปแล้วครับ
ผมอ่านข่าวนี้ไม่รู้เรื่องเลยค
mk Sun, 13/04/2014 - 08:28
In reply to แท็บเลต -> แท็บเล็ต; by nuntawat
ผมอ่านข่าวนี้ไม่รู้เรื่องเลยครับ เนื้อข่าวน่าจะจบได้ภายใน 3-4 บรรทัดเท่านั้น ที่เหลือน้ำล้วนๆ
พอใช้ได้หรือยังครับ?
iDan Sun, 13/04/2014 - 11:37
In reply to ผมอ่านข่าวนี้ไม่รู้เรื่องเลยค by mk
พอใช้ได้หรือยังครับ?
ยังไม่ได้ครับ
mk Sun, 13/04/2014 - 11:49
In reply to พอใช้ได้หรือยังครับ? by iDan
ยังไม่ได้ครับ ตัดเหลือครึ่งเดียวครับ อะไรซ้ำๆ กล่าวถึงทีเดียวพอ
เช่นตรงไหนบ้างครับ?
iDan Sun, 13/04/2014 - 12:06
In reply to ยังไม่ได้ครับ by mk
เช่นตรงไหนบ้างครับ?
ผมว่าตั้งแต่ Bloomberg ...
tekkasit Sun, 13/04/2014 - 12:23
In reply to เช่นตรงไหนบ้างครับ? by iDan
ผมว่าตั้งแต่ Bloomberg ... ไปจนสุดย่อหน้า แทบจะตัดทิ้งได้เลยเพราะมันคือการคาดเดา
แต่ย่อหน้าถัดไปกูเกิลออกมาแถลงว่ามีผลกระทบเฉพาะ 4.1.1
การคาดเดา???
iDan Sun, 13/04/2014 - 12:56
In reply to ผมว่าตั้งแต่ Bloomberg ... by tekkasit
การคาดเดา??? แต่การคาดเดานั้นคือความจริง เพราะ fact มันอยู่ย่อหน้าที่ 2 ส่วนย่อหน้าที่ 3 คือการตั้งข้อสังเกตุ คือกูเกิลออกแพตช์แก้ให้ กูเกิลจบไม่รับผิดชอบปล่อยให้เป็นไปตามยถากรรม ผู้ผลิตจะปล่อยก็ได้ไม่ปล่อยก็ได้งั้นหรือครับ?? ผมว่ามันไม่เห็นแก่ตัว
สุดท้ายนี้ ถ้าจะให้แก้ตรงไหนก็บอกมาละกันครับ เมื่อคืนเห็นออกในทีวีช่อง bloomberg เลยส่างขี้ตามาพิมพ์ผิดๆ ถูกๆ ไม่ได้ใจความ ก็ขอโทษด้วยครับ แต่ตอนนี้แก้ให้บทความให้อย่างเป็นทางการแล้ว ก็ถือว่าเป็นหน้าที่ของกองบรรณธิการแล้วครับ เชิญยำได้เต็มที่... ผมจะกลับมาแก้ทุกๆ ต้นชั่วโมงครับ
งั้นก็ต้องถามว่า
tekkasit Sun, 13/04/2014 - 14:19
In reply to การคาดเดา??? by iDan
งั้นก็ต้องถามว่า สารที่ต้องการจะสื่อคืออะไร "การคาดเดา" ของ Bloomberg ? หรือการที่กูเกิลออกมายอมรับว่า Android 4.1.1 ได้รับผลกระทบจาก Heartbleed ครับ?
อาจจะแรงไปนิด แต่ว่าส่วนตัวผม ผมว่าสาระสำคัญคือข้อหลัง ไม่ใช่ข้อแรก ครับ คือเอาจริงๆ คนใช้งานไม่สนใจหรอกว่าใครจะเจอ
หรือจะมองอีกมุมก็ได้ครับ คือบั๊กตัวนี้จริงๆ แล้วถูกค้นพบโดยคนสองคนพร้อมๆกัน มีใครจดจำได้บ้างไหมครับว่า ทั้งสองคนมาจากบริษัทอะไรกันบ้าง?
ตัดเรียบร้อยครับ เหลือ 3
iDan Mon, 14/04/2014 - 00:09
In reply to ยังไม่ได้ครับ by mk
ตัดเรียบร้อยครับ เหลือ 3 บรรทัดบนหน้าหลัก ใช้ได้หรือยังครับ???
แก้ไขเรียบร้อย
iDan Sun, 13/04/2014 - 11:25
In reply to แท็บเลต -> แท็บเล็ต; by nuntawat
แก้ไขเรียบร้อย
ยังนึกเคสทีจะโจมตี client
lancaster Sun, 13/04/2014 - 02:49
ยังนึกเคสทีจะโจมตี client ไม่ออกเลย
+1 Since when were Android
McKay Sun, 13/04/2014 - 12:58
In reply to ยังนึกเคสทีจะโจมตี client by lancaster
+1
Since when were Android used as SSL server...
เข้าใจว่าไม่ใช่โดยตรงครับ
PaPaSEK Sun, 13/04/2014 - 22:04
In reply to +1 Since when were Android by McKay
เข้าใจว่าไม่ใช่โดยตรงครับ น่าจะเป็นกรณีที่ update server ของผู้ผลิตใช้ OpenSSL แล้วข้อมูลหลุดไปกับ request ที่ส่งไป server ครับ
จริงๆ แล้วพวก Google Service มันก็ผูกกับ Android device แล้วก็มีการส่งข้อมูลแทบจะตลอดเวลานะครับ เอาแค่ check app update จาก Play Store ผมก็คิดว่าน่าจะเยอะแล้ว
ปล. แต่ยังงงๆ อยู่ดีนะ ผมว่าผมเดาถูกแค่บางส่วน เพราะมันยังมีเรื่องที่บอกว่า "มีผลกับ Android เวอร์ชัน 4.1.1" แสดงว่ามันต้องเป็นปัญหาฝั่ง client
Heartbleed
McKay Mon, 14/04/2014 - 01:06
In reply to เข้าใจว่าไม่ใช่โดยตรงครับ by PaPaSEK
Heartbleed เป็นบัคที่ทำให้อีกฝั่งสามารถอ่านข้อมูลใน RAM ได้หน่ะครับ ซึ่งโดยปกติข้อมูลฝั่ง client ก็จะไม่ค่อยมีอะไรอยู่แล้วคับ (ส่วนมากเป็นข้อมูลที่รับส่งกับตัว server เองกับ public key)
Heartbleed ไม่ใช่บัคที่ทำให้คนนอกเข้ามา hijack ทำตัวเป็น man in the middle ได้หน่ะครับ ถ้าจะ hack client จริงๆก็ต้องมาจากตัว server เอง request ข้อมูล(ซึ่งก็ไม่รู้ว่า server จะทำไปทำไม) อย่างกรณี Google Service ก็คงไม่เกิดกรณีที่ Google ตั้งใจใช้บัคในการ request ข้อมูลที่รับส่งกับ Google เองคับ
Heartbleed เลยกลายเป็นบัคแบบ server exclusive กลายๆเพราะเปิดให้ client สามารถอ่านข้อมูล(ที่รับส่งกับตัว client เอง) และ private key(ที่สำคัญมากๆ) ของตัว server ครับ
อันนั้นเข้าใจครับ
PaPaSEK Mon, 14/04/2014 - 01:48
In reply to Heartbleed by McKay
อันนั้นเข้าใจครับ ผมเขียนอะไรที่ทำให้เข้าใจว่าผมไม่เข้าใจหว่า ... งงมั้ย น่าจะงง ผมก็งง
วันก่อนมีคนทำรูปง่ายๆ มาให้อ่านพอดีครับ
งงเรื่อง Google Service
McKay Mon, 14/04/2014 - 01:50
In reply to อันนั้นเข้าใจครับ by PaPaSEK
งงเรื่อง Google Service ครับป้า -0-;
ฮ่าฮ่า ผมยิ่งอธิบายผมยังงงๆ
PaPaSEK Mon, 14/04/2014 - 12:38
In reply to งงเรื่อง Google Service by McKay
ฮ่าฮ่า ผมยิ่งอธิบายผมยังงงๆ เองเลยครับ
คือจะบอกอย่างนี้ ไอ้บั๊กนี่ผมเข้าใจว่ามันดึงข้อมูลจาก RAM บน server ซึ่งมีข้อมูลหลายอย่างปะปนอยู่นะครับ รวมไปถึง request จากทาง client ที่ส่งไปหา server ด้วย
แล้ว Google Service บน Android เวลาที่ส่ง request ไปยัง server (request ที่เป็น web request // ไม่ใช่ heartbeat signal) มันจะรวมทั้ง username, password, public key ไปยัง server ด้วยนะครับ
พอใช้ heartbleed แล้วมันจะดูดข้อมูลที่อาจจะรวม request จากพวก Google Service มาจาก Server ของ Google ด้วยครับ
ผมเข้าใจว่าข้อมูลใน RAM บน server นี่มันเก็บแบบกระจัดกระจายนะ แต่ยิ่งส่งบ่อย มันก็น่าจะมีโอกาสถูกดูดได้มากขึ้น แล้ว Google Service มันส่งข้อมูลอยู่ตลอดเวลาไงครับ
ผมเข้าใจอะไรผิดปล่าวหว่า ....
ปล. ผมพยายามหาข้อมูลแล้วนะว่ามันสัมพันธ์กันยังไง ระหว่าง Android กับ Heartbleed แต่ก็หาไม่เจอ ข่าวลอกกันมาทั้งดุ้นเกือบทุกเว็บเลย แต่เจอว่า Android เคยมีปัญหา master key ถูกหลอกได้ครับ
กรณี heartbleed นั้น ถ้า
McKay Mon, 14/04/2014 - 13:59
In reply to ฮ่าฮ่า ผมยิ่งอธิบายผมยังงงๆ by PaPaSEK
กรณี heartbleed นั้น ถ้า server โดน heartbleed ไม่ว่า client อะไรก็ไม่ต่างกันหน่ะครับป้า ไม่ว่า(client)จะใช้ OS อะไรก็ได้ผลเดียวกัน(1.client ไม่โดน server heartbleed ใส่ 2.server ก็ยังถูก exploit ได้อยู่) ไม่เกี่ยวกับว่าจะเกิดกับ Android 4.1.1 ที่มีบัคอย่างเดียวคับ
อย่าง client ที่เป็น MS/iOS/Mac OS ก็โดนหมด กล่าวง่ายๆคือไม่ว่า client จะมีบัคหรือไม่มีบัค ถ้า server โดนบัค heartbleed ข้อมูลต่างๆก็ไม่ปลอดภัยอยู่ดีคับ(Server Exclusive) ทั้งนี้ผมไม่แน่ใจว่าจะ request ข้อมูลนอกเหนือ session นั้นๆได้หรือเปล่า แต่ที่กลัวกันก็คือการที่ private key ถูกรู้ และเอาไปถอดรหัสข้อมูลต่างๆที่ติดต่อกับ server ครับ
ในกรณีนี้ผมกับคุณ lancaster ก็เลยสงสัยว่า ในกรณีที่ client มีบัคเนี่ย จะจู่โจม client แบบไหนได้บ้าง เพราะคำสั่ง request heartbeat ก็ต้องมาจากตัว server เอง(ซึ่งข้อมูลทั้งหมดของ client นั้นตัว server เองก็รู้อยู่แล้ว)
งงไหมหว่าคับป้า
ทางเดียวที่ผมนึกออกว่าตัว client มีบัคแล้วจะเสียหายก็คือในกรณีที่บัค heartbleed สามารถอ่านข้อมูลนอก session ได้ และตัว server ทำตัวเป็น rogue server และ collect ข้อมูลนอก session เสียเองครับ
งงไหมหว่าคับป้ารอบ 2
EDIT: เจอผลเสียในกรณีบัคเกิดบน client แล้วครับ ก็คือ server ทำตัวเป็น rogue server หน่ะแหละคับ
ผมนั่งหาข้อมูลอยู่ทั้งวันเลยไ
PaPaSEK Wed, 16/04/2014 - 01:56
In reply to กรณี heartbleed นั้น ถ้า by McKay
ผมนั่งหาข้อมูลอยู่ทั้งวันเลยไม่ได้เข้ามาตอบ แต่ได้อ่านตั้งแต่วันที่โพสต์แล้วนะครับ
ผมขอสรุปให้คนที่กำลังงงๆ หน่อยละกัน ง่ายๆ คือ heartbeat signal นั้นสามารถถูกส่งได้จากทั้ง 2 ฝั่งครับ และตั้งแต่ 4.1.1 ถอยหลังไปมันดันไม่ได้ปิด heartbeat นี่เอาไว้ (เปิดเป็น default)
ผมไล่เช็คดูหลายๆ เวอร์ชันแล้ว ดูที่นี่ เลือกเวอร์ชันแล้วคลิกที่ไฟล์ android-config.mk ถ้าในไฟล์มี -DOPENSSL_NO_HEARTBEATS แสดงว่ารุ่นนั้นปิด heartbeat เอาไว้
(พยายาม) อธิบายต่อ เนื่องจาก heartbeat ถูกส่งได้จากสองฝั่ง เมื่อเซิร์ฟเวอร์ request heartbeat มา Android client ก็จะตอบกลับไป คราวนี้ถ้า server เรียกมาที่ client โดยใช้ heartbleed bug ก็จะทำให้ขโมยข้อมูลใน RAM ได้ ซึ่งอาจมี private key, password etc. หลุดตามไปด้วย
ขอบคุณ @lancaster กับ @McKay มากๆ ครับ สงกรานต์นี้เลยมีอะไรทำหน่อย แหะๆ
กรณี Android เป็น Server
Wizard. Tue, 15/04/2014 - 14:29
In reply to ยังนึกเคสทีจะโจมตี client by lancaster
กรณี Android เป็น Server ต่างๆ เช่นพวก http อย่าง airdroid ?
AirDroid เป็น non-secure
McKay Wed, 16/04/2014 - 00:33
In reply to กรณี Android เป็น Server by Wizard.
AirDroid เป็น non-secure หน่ะครับ