Уязвимости Windows Mobile

Появившаяся 7 лет тому назад операционная система Windows Mobile сейчас установлена в 12% устройств (3,8 млн единиц техники), по данным отчета за второе полугодие 2008 года, подготовленного аналитическим агентством Gartner. За это время системные архитекторы из Microsoft пытались создать безопасный, с их точки зрения продукт, правда, у них ничего не получилось.

Понятно, что для злоумышленников гораздо «слаще» Symbian OS с 18,4 млн девайсов, но уповать только на интересы хакеров (что и делают люди из Microsoft) – заведомо проигрышная позиция. Как бы ни ругали пользователи десктопные операционные системы семейства Windows за их уязвимости и проблемы с безопасностью, по сравнению с Windows Mobile эти продукты еще вполне себе защищенные. Так, например, в Windows Vista есть встроенный файрвол и файловая система с возможностью шифрования данных и делегированием прав пользователям. Известные политики безопасности для запуска приложений в Windows Mobile на деле, как выяснили специалисты из Airscanner Corp., могут быть легко изменены злоумышленником и особого труда для этого не нужно. В этой статье мы расскажем об основных проблемах защиты Windows Mobile и постараемся дать советы.

Архитектура Windows Mobile такова, что большинство пользователей находятся в твердом неведении, что за приложения у них в данный момент запущены. Когда еще не была выпущена Windows Mobile 6.1 с диспетчером задач, единственная возможность получить список запущенных процессов реализовывалась посредством стороннего софта. В то же время до сих пор не решена проблема с отображением всех сервисов системы – те, что стартуют вместе с Windows Mobile, те, что запускаются вместе с оболочкой номеронабирателя и так далее. Одна из немногочисленных утилит для доступа к реестру, SkTools, достаточно опасна для использования неопытным пользователем, который может спровоцировать своими действиями «жесткую перезагрузку» устройства. В итоге владельцы Windows Mobile по-прежнему находятся в неведении, что же происходит в фоновом режиме работы системы. Разработчики же программного обеспечения для системы знают, что делают, но применяют устаревшие и попросту опасные способы защиты данных, как выяснили эксперты Airscanner Corporation.

По данным отчета Pintsec Mobile Usage Survey, почти 22% владельцев КПК хотя бы раз в своей жизни теряли свои устройства. При этом 81% потерянных КПК не имели никакой степени защиты – ни паролем, ни шифрованием. Это же исследование показало, что на 37% КПК хранятся важные данные – пароли, счета в банке, финансовая информация. При условии того, что на рынке существует некоторое количество шифровальщиков (порядка двух десятков), а еще есть специальный софт для хранения личной информации, пользователь все равно или всецело доверяет этим программам, или не пользуется ими вообще. В принципе, программы по типу HandySafe, позволяющие хранить всю необходимую информацию в специальном защищенном разделе памяти коммуникатора или смартфона, по идее, действительно могут помочь владельцу с защитой данных от несанкционированного доступа, но только при грамотном использовании. Системы шифрования, если использовать их с умом, то есть не забывать, что и как зашифровано, аналогично могут сойти за решение проблемы защиты данных. Но на практике пользователь выбирает софт, не ориентируясь на современные стандарты информационной безопасности.

Одна из концептуальных проблем – хранение паролей. Большинство способов управления паролями сводится к тому, что вводимая информация сохраняется или в ветках системного реестра, или в конфигурационных файлах программы. На Windows Mobile оба способа реализовываются из вон рук плохо – пароли можно спокойно найти в ветках HKLM\Software и HKCU\Software в разделах, относящихся к софту, использующему пароли (E-mail клиенты, IM-пейджеры, браузеры). Ниже мы публикуем список некоторых системных путей (системные файлы и реестр), где находятся пароли от некоторых популярных программ:
- IM+PPC (IM-клиент) – \Program Files\IMPlus\implus.cfg
- Agile (IM-клиент) \HKCU\Software\AgileMessenger
- Thunderhawk (браузер) – thconfig.txt

Самое интересное, что пароли хранятся в незашифрованном или в слабозашифрованном виде – это значит, что пользователь, знающий реестр, может легко найти и прочитать их, или экспортировать нужную ветку и импортировать на свое устройство. Аналогичное происходит и с конфигурационными файлами от программ, находящимися, в основном, в корневой папке устройства.

Специалисты из Airscanner также выявили, что некоторые программы, призванные хранить конфиденциальные данные под защитой PIN-кода, хранят этот самый код (а не хэш) в реестре, даже не шифруя. Плюс ко всему у некоторых программ можно удалить или обнулить значение ключа с паролем, что позволит запустить приложение без запроса пароля. Подобные «фокусы» проходят с финансовыми программами, менеджерами паролей и некоторыми PIM-приложениями. Например, программа WebIS Money позволяет отключить защиту посредством удаления ветки реестра
В реестре же хранят пароли от Wi-Fi-сетей и некоторые менеджеры коммуникаций, как, например, Odyssey (предустановленный клиент для работы с Wi-Fi на Dell Axim X50v). Хакеру, знакомому с hex-редакторами, ничего не стоит перевести значения из одной системы в другую и заполучить доступ. Высший «шик» - пересылка пароля открытым способом через POST-запрос, которая была замечена экспертами Airscanner у некоторых антивирусов при загрузке обновления сигнатур и открытие портов для свободного обмена информацией. Последнее, кстати, актуально для старой версии Active Sync 3.8, в которой открыт по умолчанию 990 порт для всех подключений. Это значит, что злоумышленник может легко установить прослушивание порта и перехватывать все данные между КПК и ПК, а также незаконно подключаться к самому ПК. Особого умения здесь не надо – если у пользователя не установлен или не настроен должным образом файрвол и при этом он ввел пароль доступа до КПК, то перехватить его не стоит труда.

Из всего этого напрашивается один вывод – не хранить на КПК ничего сверхважного и сверхсекретного, в особенности, если нет уверенности в том, что эта информация может быть уничтожена дистанционно при потере девайса (например, при попытке ввода неверного кода или в обход ввода пароля). Тем не менее, так как информация на картах памяти не подпадает под действие подобных «антиворовских утилит», нужно хранить как можно меньше секретной информации на сменных носителях, по возможности, применяя там шифрование.