Android iyi bir i\u015fletim sistemi ve geli\u015ftiricileri g\u00fcvenli\u011fe ger\u00e7ekten \u00f6nem veriyor fakat bu kadar \u00e7ok OS s\u00fcr\u00fcm\u00fc ve uygulaman\u0131n hepsiyle ilgilenmek \u00e7ok zor bir i\u015f. Bu y\u00fczden s\u0131kl\u0131kla dahili g\u00fcvenlik mekanizmalar\u0131n\u0131n \u00e7evresinden dola\u015fma yollar\u0131 ortaya \u00e7\u0131k\u0131yor. Android\u2019i hacklemenin en yeni yoluna \u201cMan-in-the-Disk\u201d yani \u201cDiskteki Adam\u201d deniyor ve bu yaz\u0131da bu y\u00f6ntemden bahsedece\u011fiz.<\/p>\n
Android\u2019in ana ilkelerinden biri de t\u00fcm uygulamalar\u0131n birbirinden izole olmas\u0131d\u0131r. Bu da korumal\u0131 alan ad\u0131 verilen unsurlar\u0131n kullan\u0131m\u0131yla ger\u00e7ekle\u015ftiriliyor. Her uygulama, \u00f6zel dosyalar\u0131yla birlikte di\u011fer uygulamalar\u0131n ula\u015famad\u0131\u011f\u0131 bir \u201cSandbox (korumal\u0131 alan)\u201d<\/a> i\u00e7inde ya\u015far.<\/p>\n Ama\u00e7lanan \u015fey k\u00f6t\u00fc ama\u00e7l\u0131 bir uygulama Android cihaz\u0131n\u0131za girse bile, internet bankac\u0131l\u0131\u011f\u0131 uygulamalar\u0131n\u0131n kullan\u0131c\u0131 ad\u0131 ve \u015fifresi veya mesajla\u015fma ge\u00e7mi\u015finiz gibi zarars\u0131z uygulamalar\u0131n depolad\u0131\u011f\u0131 verileri \u00e7alamamas\u0131n\u0131 sa\u011flamakt\u0131r. Hackerlar\u0131n korumal\u0131 alandan ka\u00e7\u0131\u015f ad\u0131n\u0131 verdikleri bir y\u00f6ntemle bu mekanizmay\u0131 a\u015fmak i\u00e7in yeni yollar ar\u0131yor olmas\u0131 hi\u00e7 \u015fa\u015f\u0131rt\u0131c\u0131 de\u011fil. Zaman zaman ba\u015far\u0131l\u0131 da oluyorlar.<\/p>\n \u00d6rne\u011fin, Slava Makkaveev DEF CON 26 konu\u015fmas\u0131nda tehlikeli veya \u015f\u00fcpheli izinleri olmayan bir uygulaman\u0131n nas\u0131l korumal\u0131 alandan ka\u00e7t\u0131\u011f\u0131 \u00fczerinde yo\u011funla\u015ft\u0131. Bu y\u00f6nteme \u00fcnl\u00fc Man-in-the-Middle (Ortadaki Adam)<\/a> t\u00fcr\u00fc sald\u0131r\u0131dan yola \u00e7\u0131karak \u201cMan-in-the-Disk (Diskteki Adam)\u201d ad\u0131n\u0131 verdi.<\/p>\n Uygulama dosyalar\u0131n\u0131 bar\u0131nd\u0131ran korumal\u0131 alanlar d\u0131\u015f\u0131nda Android\u2019de \u201cHarici Depolama\u201d gibi bir ada sahip, payla\u015f\u0131lan bir harici depolama vard\u0131r. Bir uygulama depolamaya eri\u015fmek i\u00e7in kullan\u0131c\u0131dan izin<\/a> istemek zorundad\u0131r: \u201cCihaz\u0131n\u0131zdaki foto\u011fraflara, medyaya ve dosyalara eri\u015fim\u201d (asl\u0131nda hem okuma hem yazma i\u00e7in iki izindir READ_EXTERNAL_STORAGE ve WRITE_EXTERNAL_STORAGE). Bu izinler genelde tehlikeli olarak d\u00fc\u015f\u00fcn\u00fclmez ve neredeyse her uygulama bu izinleri ister, yani bu istekte \u015f\u00fcpheli bir durum yoktur.<\/p>\n Uygulamalar ak\u0131ll\u0131 telefonlarla bilgisayarlar aras\u0131nda dosya de\u011fi\u015ftirmek, aktarmak gibi yararl\u0131 bir\u00e7ok \u015fey i\u00e7in harici depolamay\u0131 kullan\u0131r. Ancak harici depolama s\u0131kl\u0131kla internetten indirilen verileri ge\u00e7ici olarak depolamak i\u00e7in de kullan\u0131l\u0131r: Veri \u00f6nce diskin payla\u015f\u0131lan k\u0131sm\u0131na yaz\u0131l\u0131r ve ancak o zaman sadece belirli uygulamalar\u0131n eri\u015febilece\u011fi izole b\u00f6lgeye aktar\u0131labilir.<\/p>\n \u00d6rne\u011fin, bir uygulama i\u015flevselli\u011fini, s\u00f6zl\u00fckler veya g\u00fcncellemeler gibi ek i\u00e7eri\u011fi geni\u015fletmek amac\u0131yla y\u00fckledi\u011fi tamamlay\u0131c\u0131 mod\u00fclleri depolamak i\u00e7in, payla\u015f\u0131lan alan\u0131 ge\u00e7ici olarak kullanabilir. Problem \u015fu ki, okuma\/yazma hakk\u0131na sahip harici depolamaya eri\u015febilen bir uygulama dosyalara eri\u015febilir, dosyalar\u0131 de\u011fi\u015ftirebilir, k\u00f6t\u00fc ama\u00e7l\u0131 unsurlar ekleyebilir.<\/p>\n Bir oyun gibi asl\u0131nda \u00e7ok zarars\u0131z g\u00f6r\u00fcnen ama ak\u0131ll\u0131 telefonunuza \u00e7ok zararl\u0131 bir vir\u00fcs bula\u015ft\u0131rabilecek uygulamalar indirmeniz gayet olas\u0131d\u0131r.<\/p>\n Android\u2019in yarat\u0131c\u0131lar\u0131 harici depolaman\u0131n tehlikeli olabilece\u011finin fark\u0131ndalar, hatta Android geli\u015ftirici sitesi programc\u0131lar i\u00e7in birka\u00e7 yard\u0131mc\u0131 ipucu<\/a> bile i\u00e7eriyor.<\/p>\n Fakat Google \u00e7al\u0131\u015fanlar\u0131 ve belirli ak\u0131ll\u0131 telefon \u00fcreticileri dahil olmak \u00fczere, her uygulama geli\u015ftiricisi ne yaz\u0131k ki bu tavsiyelere uymuyor. Slava Makkaveev taraf\u0131ndan verilen \u00f6rneklere Google \u00c7eviri, Yandex. \u00c7eviri, Google Sesle Yazma ve Google Metin-Konu\u015fma Motoru ve LG ve Xiaomi taray\u0131c\u0131 sistem uygulamalar\u0131 da dahil.<\/p>\nMan-in-the-Disk nas\u0131l \u00e7al\u0131\u015f\u0131r?<\/h2>\n