BlueBox met en garde les utilisateurs d'Android au sujet d'une faille donnant accès à leur téléphone.
Android a plutôt mauvaise réputation lorsqu'il s'agit de sécurité et il n'est pas rare qu'une entreprise tierce dévoile au grand jour une faille de sécurité ou un malware. C'est le cas aujourd'hui avec Fake ID qui rentre dans la première catégorie.
Découverte par BlueBox, cette faille de sécurité permet à n'importe quelle application de falsifier son certificat pour se faire passer pour une autre dans le système. Cela aurait alors pour conséquence de laisser accès à certaines parties du système qui devraient rester exclusives à d'autres applications, ainsi qu'à des données sensibles. L'exemple le plus marquant est le cas d'un logiciel se faisant passer pour une application de paiement par NFC, et qui serait alors capable de récupérer des informations bancaires en tâche de fond.
Prévenu en avril, Google a déjà réagi en corrigeant ce bug directement dans le code des nouvelles versions d'Android. Ainsi, BlueBox a tenté d'exploiter la faille sur un LG G3, un Samsung Galaxy S5 et un HTC One M8, tous trois tournant sous les plus récentes moutures d'Android 4.4, sans succès. Par ailleurs, le Google Play et la fonction Verify Apps ont déjà reçu des mises à jour afin de protéger les utilisateurs contre cette faille, ce qui veut dire que même les terminaux dont le système n'est pas à jour peuvent également être sécurisés. Lors de la Google I/O, le mois dernier, Sundar Pichai expliquait que 93 % des utilisateurs d'Android disposaient de la dernière version des Google Play Services. Autant de personnes qui devraient aujourd'hui ne pas avoir à craindre Fake ID.
Enfin, dans un communiqué, Google précise avoir scanné toutes les applications soumises sur le Play Store, ainsi que certaines proposées en dehors, et n'a trouvé aucune preuve de tentative d'exploitation de cette vulnérabilité. Ouf !
