Вопрос о безопасности хранения информации на мобильных устройствах интересовал широкую общественность уже давно, но только недавно стало известно, насколько несовершенна на них система защиты. Оказывается, на мобильных устройствах с операционной системой Windows Mobile, произведенных третьими компаниями, пароли доступа просто сохраняются в реестре ОС в виде обычного текста. И, если потерянный телефон попадет в руки к «специалисту», пароли очень легко можно определить и использовать в собственных целях.
Даже в случаях, когда вводимый пароль кодируется, алгоритм кодирования очень прост и код легко поддается расшифровке. Например, для обеспечения безопасности информации, PocketMoney требует от пользователя перед открытием файла с данными ввести пароль. «Закодированная» версия пароля сохраняется в регистре по пути
«HKLM\SOFTWARE\Handmark\PocketMoney\Password key». Пароль защищен при помощи функции ROT-N со значением случайного числа «0x21 0x70 0x6d 0x6f 0x6e 0x65 0x79 0x21 è NAK p m o n e y NAK». Как видно из примера, защита пароля (и финансовых данных) напрямую связана со словом «pmoney». Исходя из этого, довольно просто сделать анализ образца закодированных данных и определить ключ.
В качестве выхода из ситуации, пользователь может использовать функцию защиты пароля Windows Mobile, кодировать данные при помощи Microsoft Crypto API и помнить, что простой здравый смысл и осторожность еще никого не подводили.
Более подробный обзор найденный уязвимостей Windows Mobile можно почитать на сайте MSMobiles.com.
- « оценка: 2.67 (3 чел.) » +
  
|
