Android Aygıtlarda Epeyce Önemli Bir ‘NFC’ Açığı Keşfedildi

Bildiğiniz üzere Android, açık kaynak kodlu bir işletim sistemi ve bu yüzden iOS’ta var olan kısıtlamalar Android işletim sistemlerinde yok. Bu noktada pek çok kullanıcı, Android’i tercih etmesindeki sebebin özelleştirilebilir ve özgür bir işletim sistemi olmasından kaynaklandığını söylüyor. Fakat Google’ın geçtiğimiz aylarda yayınladığı bir güncelleme, NFC teknolojisiyle ilgili hayli önemli bir güvenlik açığını ortaya çıkardı.

Olayı daha düzgün kavramak için kısaca özetlemek gerekirse NFC, Android Beam olarak bilinen dahili bir Android OS servisi üzerinden çalışır. Bu hizmet, bir Android aygıtının Wi-Fi yahut Bluetooth'a alternatif olarak NFC radyo dalgalarını kullanarak yakındaki bir aygıta imgeler, evraklar, görüntüler ve hatta uygulamalar üzere bilgileri göndermesine imkan tanır.

NFC üzerinden gönderilen uygulamalar (APK dosyaları) çoklukla diskte depolanır ve ekranda bir bildirim gösterilir. Ekranda çıkan bu bildirim, aygıt sahibine NFC servisinin bilinmeyen bir kaynaktan uygulama yüklemesine müsaade vermek isteyip istemediğini sorar.

Bildirime dokunmak kötü emelli yazılımı aygıta kuruyor:

Y. Shafranovich isimli bir güvenlik araştırmacısı, Android 8 (Oreo) yahut sonraki sürümlerde NFC ile gönderilen uygulamaların bu bildirimi göstermediğini keşfetti. Shafranocivh’e nazaran güvenlik açığına neden olan bu bildirim, kullanıcıya rastgele bir güvenlik ikazında bulunmadan tek bir dokunuşla uygulamayı yüklemeye imkan sağlıyor.

Bu noktada rastgele bir bildirimin olmayışı kıymetsiz görünse de bu, Android'in güvenlik modelinde hayli değer teşkil ediyor. Google, Android işletim sistemi kullanan aygıtların uygulamaları 'bilinmeyen kaynaklardan' yüklemelerine müsaade vermiyor ve resmi Google Play Store dışından kurulan rastgele bir aplikasyonu güvenilmez ve doğrulanmamış olarak kabul ediyor.

Milyonlarca kullanıcıyı risk altında bırakan bu açık, şayet kullanıcıların NFC ve Android Beam servisi aktifse, yakındaki bir saldırgan tarafından telefonlarına berbat maksatlı yazılım yerleştirilmesine imkan sağlıyor. Birçok kullanıcının, telefonlarına gelen bildirimin Google Play Store'dan gelmiş olabileceğini yahut bir güncelleme olduğunu düşünerek uygulamayı kurma tehlikesi bulunuyor.  Bilinmeyen bir kaynaktan yükleme bildirimi gelmediği için de bildirime dokunmak, makus emelli uygulamanın kurulumunu başlatıyor.

Kendinizi nasıl korumalısınız?

Ülkemizde yaygın olarak kullanılmayan NFC özelliği, çoğunlukla yeni satılan tüm aygıtlarda varsayılan olarak faal bir formda geliyor. İşin makus yanıysa pek çok Android kullanıcısının, bu özelliğin aygıtlarında etkin olduğunu bilmemesi.

Güzel haber şu ki; NFC teknolojisi fakat iki aygıt birbirine 4 cm yahut daha yakın bir uzaklıkta konumlanırsa faal hale geliyor. Bu, bir saldırganın bir halde telefonunu mağdurun hayli yakınına götürmesi gerektiği manasına geliyor ki bu her vakit mümkün olabilecek bir şey değil.

İnançta kalmak ve riske girmemek içinse hem NFC özelliğini hem de Android Beam servisini devre dışı bırakmanızı tavsiye ederiz. Ayrıyeten şayet NFC’yi bir ödeme sistemi olarak kullanıyorsanız, bu durumda NFC'yi aktif ancak Android Beam hizmetini devre dışı bırakabilirsiniz. Bu formda NFC belge transferini engellerken öbür NFC süreçlerine müsaade verebilirsiniz.