Konferensi Black Hat berlangsung di Las Vegas minggu ini, di mana peretas, pakar keamanan, dan perwakilan dari perusahaan besar bertemu untuk membahas semua hal yang berkaitan dengan keamanan informasi. Jika Anda mengikuti berita di luar konferensi hari ini, Anda mungkin menemukan laporan kerentanan keamanan baru di Android (dan ponsel Meego yang didukung NFC) yang dapat memungkinkan tag NFC (komunikasi lapangan dekat) berbahaya untuk mengirimkan malware langsung ke ponsel Anda. Kedengarannya menakutkan, bukan? Sekarang peretas dapat mengambil alih ponsel cerdas Anda tanpa Anda melakukan apa pun. Tapi seperti yang selalu terjadi dengan masalah keamanan semacam ini, tidak sesederhana kelihatannya. Dan 'hack' NFC ini, seksi dan mengesankan secara teknis, tidak benar - benar menakutkan bagi pengguna smartphone biasa.
Baca terus untuk mengetahui alasannya.
Pertama, kita harus segera menjelaskan apa sebenarnya NFC. Itu singkatan dari komunikasi jarak dekat, dan itu adalah teknologi komunikasi nirkabel jarak pendek yang dirancang untuk mengirim sejumlah kecil data secara instan dalam jarak yang sangat pendek. Pada ponsel cerdas, ini dapat digunakan untuk mentransfer hal-hal seperti URL dari satu handset ke yang lain, atau sebagai alternatif untuk memindai "tag" NFC, yang dengan sendirinya dapat berisi sejumlah kecil data yang dapat ditindaklanjuti oleh ponsel. Itu juga dapat digunakan untuk memfasilitasi pembayaran, misalnya melalui Google Wallet. (di Android AZ kami)
Beberapa sumber melaporkan bahwa peneliti keamanan Charlie Miller menunjukkan berbagai teknik untuk meretas Nexus S (pada Gingerbread), Galaxy Nexus (pada Ice Cream Sandwich) dan Nokia N9 yang didukung Meego di Black Hat minggu ini. Banyak eksploitasi paling menakutkan ditemukan di N9, tetapi kami akan fokus pada Android di sini, karena itulah yang kami lakukan. (Dan itu juga yang menjadi fokus banyak berita utama hari ini.)
Mulai dari kelas atas, pada Galaxy Nexus Miller menunjukkan bahwa ponsel Android yang mendukung NFC menjalankan Ice Cream Sandwich atau yang lebih baru menggunakan Android Beam, fitur yang beberapa (tetapi tidak semua) telah dihidupkan secara default. Di antara hal-hal lain, Beam memungkinkan pengguna memuat URL dari ponsel lain atau tag NFC langsung ke browser web perangkat. Itu artinya mungkin, dengan tag NFC jahat, untuk mengirim pengguna yang tidak langsung langsung ke halaman web berbahaya. Agar itu berfungsi, tag harus berada dalam jarak yang sangat pendek tempat radio NFC dapat beroperasi - pada dasarnya hanya menyentuh bagian belakang perangkat. Android Beam membuka URL yang ditandai secara otomatis tanpa permintaan apa pun, sesuai desain. Ini masalah keamanan yang valid, tetapi bukan eksploit dalam arti tradisional, karena untuk melakukan apa pun Anda perlu menemukan kerentanan di browser web pilihan pengguna.
Jika Anda menggunakan browser Android bawaan pada Android 4.0.1, maka bug semacam itu ada, dan itu bisa memungkinkan halaman web yang dirancang khusus untuk menjalankan kode pada perangkat. Sekali lagi, masalah keamanan yang sepenuhnya valid, tetapi menggunakan NFC sebagai metode pengiriman untuk jenis eksploitasi ini masih jauh dari praktis. Belum lagi Android 4.0.1 hanya dirilis pada Galaxy Nexus, telepon yang sejak itu telah diperbarui ke Android 4.0.4 atau 4.1.1, tergantung pada operator Anda.
Miller juga menunjukkan bagaimana ia dapat mengeksploitasi bug dalam manajemen memori Android 2.3 untuk menyebabkan perangkat Gingerbread dengan dukungan NFC untuk mengeksekusi kode menggunakan tag berbahaya. Itu berpotensi memberikan penyerang kemampuan untuk mengambil kendali penuh dari perangkat hanya menggunakan tag NFC, tetapi kita harus menunjukkan beberapa faktor yang membuat ini masalah yang kurang serius yang mungkin Anda pikirkan. Tentu saja, Android 2.3 Gingerbread masih merupakan versi Android yang paling banyak digunakan, dan banyak perangkat Android baru memberikan dukungan NFC, tetapi ada sedikit persilangan di antara keduanya. Nexus S adalah handset Android pertama yang mendukung NFC, tetapi sejak itu telah diperbarui ke Jelly Bean. Perangkat pendukung NFC lainnya dikirimkan pada 2.3, tetapi sebagian besar ponsel Android arus utama dengan NFC menjalankan setidaknya versi 4.0.3, yang tidak rentan terhadap eksploitasi yang digunakan dalam demo ini. Faktanya, kami tidak dapat memikirkan satu pun ponsel Gingerbread dengan NFC yang belum diperbarui ke setidaknya Android 4.0.3.
Jadi kerentanan memang ada, tetapi saat ini satu-satunya yang serius terbatas pada subset yang sangat kecil dari populasi Android dengan NFC, dan versi OS yang sangat spesifik. Terlebih lagi, telepon harus dinyalakan, radio NFC harus diaktifkan, dan pengguna perlu cukup terganggu agar tidak memperhatikan nada atau getaran NFC yang diceritakan.
Pada akhirnya, setiap eksploit yang melibatkan akses fisik ke perangkat yang diretas akan terbatas digunakan untuk orang jahat yang sebenarnya. Mengontrol smartphone melalui NFC di dunia nyata akan berbahaya dan tidak praktis untuk calon pelakunya, bahkan setelah metode yang diperlihatkan di Black Hat dipublikasikan. Jika saya memiliki akses ke ponsel Anda, dihidupkan, untuk waktu yang lama, dengan niat jahat, NFC tidak akan menjadi port of call pertama saya. Eksploitasi yang ditunjukkan oleh Charlie Miller minggu ini adalah cerdik dan keren untuk dibaca. Tetapi mudah untuk melebih-lebihkan bahaya nyata yang ditimbulkannya, terutama ketika pelaporan arus utama peretasan ini tidak jelas tentang detail teknis yang penting.
Intinya - jika Anda menikmati menggunakan NFC di ponsel Android Anda dari waktu ke waktu, Anda aman untuk terus melakukan hal itu.
Lebih lanjut: Arc Technica
