Vraagtekens bij fatale fout in Android

Dat de fout die Perception Point vond in Linux te misbruiken is, dat staat niet ter discussie. Voor beheerders van Linux-systemen is er alle reden om de fout te patchen. Maar misbruik op Linux-systemen is alleen mogelijk als de aanvaller al toegang heeft tot het systeem, zoals gisteren ook gemeld. Dat verkleint de risico's.

Redactie AG ConnectMeer van deze auteur

Het lek heeft ook zeker zijn weg gevonden naar Android-toestellen. Maar dat zijn er volgens Google beduidend minder dan eerst gemeld. Volgens Google is Android vanaf versie 5 niet kwetsbaar voor de inbraakmethode. SELinux voorkomt in die versies dat applicaties van derden bij gevoelige inhoud kunnen komen, en snijdt dus ook een inbraak via dit lek de pas af. Dan zouden alleen de Android-toestellen met de KitKat-versie kwetsbaar zijn. Dat halveert het aantal, al praat je dan nog altijd over 500 miljoen. Google stelt ook dat de Linux 3.8-code niet in alle Android-implementaties is overgenomen; daar hangt het geen getal aan.

Praktisch niet te doen

Volgens Steven J. Vaughan-Nichols is de inbraakmethode op Android-toestellen praktisch niet uitvoerbaar. Deze beschikken over te weinig geheugen - waardoor je in het slechtste geval een vastloper uit zou lokken. Maar een doorsnee processor in een Android-toestel dat kwetsbaar is, zou er sowieso een dag voor nodig hebben om allle stappen uit te voeren die nodig zijn voor een inbraak, denkt Vaughan-Nichols. Met andere woorden, als je wilt inbreken op en Android-toestel, kun je volgens hem beter wat anders proberen.

Desalniettemin blijft overeind dat Android-smartphones die niet met versie 4.4 zijn uitgerust rond kunnen lopen met een kwetsbare plek in hun verdedigingslinie die nu ook bij hackers bekend is. Of dat zo is, is voor de eigenaar van het toestel lastig te constateren. Maar de kans dat dat lek - als het aanwezig is - gepatcht wordt, is klein. Voor betrokkenen valt te hopen, dat het lek niet makkelijker te misbruiken blijkt dan Vaughan-Nichols nu veronderstelt.